View a markdown version of this page

Problema di relazione di fiducia IAM - Amazon SageMaker AI

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Problema di relazione di fiducia IAM

HyperPod l'operatore di inferenza non si avvia con un AssumeRoleWithWebIdentity errore STS, indicando un problema di configurazione della relazione di fiducia IAM.

Messaggio di errore: 

failed to enable inference watcher for HyperPod cluster *****: operation error SageMaker: UpdateClusterInference, 
get identity: get credentials: failed to refresh cached credentials, failed to retrieve credentials, 
operation error STS: AssumeRoleWithWebIdentity, https response error StatusCode: 403, RequestID: ****, 
api error AccessDenied: Not authorized to perform sts:AssumeRoleWithWebIdentity

Risoluzione:

Aggiorna la relazione di fiducia del ruolo di esecuzione IAM dell'operatore di inferenza con la seguente configurazione.

Sostituire i seguenti segnaposto:

  • <ACCOUNT_ID>: L'ID del tuo AWS account

  • <REGION>: La tua AWS regione

  • <OIDC_ID>: ID del provider OIDC del tuo cluster Amazon EKS

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
            "Federated": "arn:aws:iam::<ACCOUNT_ID>:oidc-provider/oidc.eks.<REGION>.amazonaws.com/id/<OIDC_ID>"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringLike": {
                    "oidc.eks.<REGION>.amazonaws.com/id/<OIDC_ID>:sub": "system:serviceaccount:<namespace>:<service-account-name>",
                    "oidc.eks.<REGION>.amazonaws.com/id/<OIDC_ID>:aud": "sts.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "sagemaker.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Verifica:

Dopo aver aggiornato il rapporto di fiducia:

  1. Verifica la configurazione del ruolo nella console IAM

  2. Riavviare l'operatore di inferenza se necessario

  3. Monitora i registri degli operatori per un avvio corretto