Configurazione di un cluster Amazon EKS in Studio

Nella pagina Gestisci l'accesso, seleziona un dominio esistente. L'accesso di Studio a un HyperPod cluster viene eseguito tramite un dominio e il ruolo di esecuzione del dominio è il principale IAM utilizzato da Studio per agire sul cluster. Per informazioni sulla creazione di un dominio, consulta Guida alla configurazione con Amazon SageMaker AI.

Allega le seguenti autorizzazioni al tuo ruolo di esecuzione dalla console IAM.

Per informazioni sui ruoli di esecuzione SageMaker AI e su come modificarli, consultaInformazioni sulle autorizzazioni e sui ruoli di esecuzione dello spazio del dominio.

Per informazioni su come collegare le policy a un utente o a un gruppo IAM, consulta Adding and removing IAM identity permissions.

Prima di allegare la policy, sostituisci entrambi gli ARN di esempio con i tuoi:

Si tratta di due risorse diverse con due ARN diversi. Trova l'ARN del HyperPod cluster nella console SageMaker AI e l'ARN del cluster Amazon EKS nella console Amazon EKS. Se lasci i valori di esempio, Studio non può descrivere il cluster e la scheda Attività non viene caricata.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DescribeHyperpodClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeCluster"
            ],
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:cluster/hyperpod-cluster-name"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:CompleteLayerUpload",
                "ecr:GetAuthorizationToken",
                "ecr:UploadLayerPart",
                "ecr:InitiateLayerUpload",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "cloudwatch:GetMetricData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "UseEksClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:AccessKubernetesApi",
                "eks:MutateViaKubernetesApi"
            ],
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name"
        },
        {
            "Sid": "DescribeSpacesAddon",
            "Effect": "Allow",
            "Action": "eks:DescribeAddon",
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name/*"
        },
        {
            "Sid": "ListClustersPermission",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListClusters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:TerminateSession"
            ],
            "Resource": "*"
        }
    ]
}

Allega le politiche di accesso al cluster al ruolo di esecuzione. La policy IAM nella fase precedente consente al ruolo di esecuzione di chiamare le AWS API. Non concede al ruolo alcuna autorizzazione all'interno del cluster Kubernetes. Cluster-access le policy lo fanno e solo un ruolo con quelli giusti collegati raggiunge il cluster. Allegali da Gestisci l'accesso, nel dominio o nel profilo utente.

Seleziona il ruolo di esecuzione per il dominio o il profilo utente a cui concedi l'accesso, quindi seleziona le policy necessarie agli utenti. Scegli se assegnare l'ambito di accesso a un namespace o all'intero cluster, applicando l'ambito a un namespace quando i team condividono un cluster, quindi salva. L'assegnazione dell'ambito a un namespace limita anche le attività che gli utenti possono visualizzare in Studio. Per sapere cosa consente ciascuna policy, come definire l'ambito di accesso e come concedere invece un set personalizzato di autorizzazioni, consulta. Limitazione della visualizzazione delle attività in Studio per i cluster EKS

La concessione dell'accesso in questo modo crea per te la voce di accesso Amazon EKS per il ruolo di esecuzione, quindi non esiste un passaggio separato nella console Amazon EKS. Per i concetti alla base del modello di accesso, consulta Concedere agli utenti IAM l'accesso a Kubernetes con le voci di accesso EKS.

(Facoltativo) Per garantire un’esperienza più fluida, ti consigliamo di aggiungere tag ai tuoi cluster. Per informazioni su come aggiungere tag, consulta Modifica un SageMaker HyperPod cluster Aggiornare il cluster utilizzando la SageMaker console AI.

Tagga lo spazio di lavoro Grafana gestito da Amazon al tuo dominio Studio. Usa questo tag per collegarti al tuo spazio di lavoro Grafana direttamente dal tuo cluster in Studio. Aggiungi il seguente tag al tuo cluster per identificarlo con il tuo ID dello spazio di lavoro Grafana,. ws-id

Chiave tag = “grafana-workspace”, valore tag = “ws-id”.

Salva la configurazione YAML in un file denominato cluster-role.yaml.

Applica la configurazione utilizzando kubectl dal sito web di Kubernetes:

kubectl apply -f cluster-role.yaml

Verifica la configurazione:

kubectl get clusterrole pods-events-crd-cluster-role
kubectl get clusterrolebinding pods-events-crd-cluster-role-binding

Assegna gli utenti al gruppo pods-events-crd-cluster-level tramite il tuo gestore dell’identità digitale o IAM.