Utilizzo del controllo degli accessi basato su attributi (ABAC) per l’addestramento multi-tenancy

Abilitazione del concatenamento dei tag di sessione per ABAC

1. Importazione boto3 e Python SDK. SageMaker ABAC-enabled training job isolation è disponibile solo nella versione 2.217 o successiva di SageMaker AI Python SDK.

   import boto3
   
   from sagemaker.train import ModelTrainer
   from sagemaker.train.configs import InputData, CheckpointConfig
   from sagemaker.core.helper.session_helper import Session
   from sagemaker.core.shapes import OutputDataConfig
   from sagemaker.train.configs import Compute

2. Configura un client AWS STS and SageMaker AI per utilizzare i tag di sessione etichettati come tenant. È possibile modificare il valore del tag per specificare un tenant diverso.

   # Start an AWS STS client
   sts_client = boto3.client('sts')
   
   # Define your tenants using tags
   # The session tag key must match the principal tag key in your execution role policy
   tags = []
   tag = {}
   tag['Key'] = "tenant-id"
   tag['Value'] = "example-tenant"
   tags.append(tag)
   
   # Have AWS STS assume your ABAC-enabled job creation role
   response = sts_client.assume_role(
       RoleArn="arn:aws:iam::<account-id>:role/<your-training-job-creation-role>",
       RoleSessionName="SessionName",
       Tags=tags)
   credentials = response['Credentials']
   
   # Create a client with your job creation role (which was assumed with tags)
   sagemaker_client = boto3.client(
       'sagemaker',
       aws_access_key_id=credentials['AccessKeyId'],
       aws_secret_access_key=credentials['SecretAccessKey'],
       aws_session_token=credentials['SessionToken']
   )
   sagemaker_session = Session(sagemaker_client=sagemaker_client)

   Quando al ruolo di creazione del job si aggiungono i tag "tenant-id=example-tenant", questi vengono estratti dal ruolo di esecuzione in modo da utilizzare la seguente policy:

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::your-input-s3-bucket/example-tenant/*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::your-output-s3-bucket/example-tenant/*",
               "Effect": "Allow"
           },
           {
               "Action": "s3:ListBucket",
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }
   

3. Definisci un ModelTrainer per creare un lavoro di formazione utilizzando Python SDK. SageMaker Imposta enable_session_tag_chaining per consentire True al tuo ruolo di esecuzione della formazione sull' SageMaker IA di recuperare i tag dal tuo ruolo di creazione del lavoro.

   # Specify your training input
   trainingInput = InputData(
       channel_name='training',
       data_source='s3://<your-input-bucket>/example-tenant'
   )
   
   # Specify your training job execution role 
   execution_role_arn = "arn:aws:iam::<account-id>:role/<your-training-job-execution-role>"
   
   # Define your model trainer with session tag chaining enabled
   model_trainer = ModelTrainer(
       training_image="<your-training-image-uri>",
       role=execution_role_arn,
       compute=Compute(
           instance_type='ml.m4.xlarge',
           instance_count=1,
           volume_size_in_gb=20
       ),
       sagemaker_session=sagemaker_session,
       output_data_config=OutputDataConfig(s3_output_path="s3://<your-output-bucket>/example-tenant"),
       tags=[{"Key": "sagemaker:EnableSessionTagChaining", "Value": "true"}]
   )
   
   model_trainer.train(input_data_config=[trainingInput])