Monitoraggio della derivazione tra account

Amazon SageMaker supporta il tracciamento delle entità derivate da un AWS account diverso. AWS Gli altri account possono condividere le loro entità di derivazione con te e tu puoi accedere a queste entità di derivazione tramite API chiamate dirette o SageMaker domande di derivazione.

SageMaker utilizza AWS Resource Access Managerper aiutarvi a condividere in modo sicuro le vostre risorse di lignaggio. Puoi condividere le tue risorse tramite la console AWS RAM.

Configurazione del monitoraggio del lineage multi-account

Puoi raggruppare e condividere i tuoi Entità di monitoraggio del lineage tramite un gruppo di discendenza in Amazon SageMaker. SageMaker supporta solo un gruppo di discendenza predefinito per account. SageMaker crea il gruppo di discendenza predefinito ogni volta che viene creata un'entità di derivazione nel tuo account. Ogni entità di lineage di proprietà dell'account viene assegnata a questo gruppo di lineage predefinito. Per condividere le entità di lineage con un altro account, condividi questo gruppo di lineage predefinito con quell'account.

Crea una condivisione di risorse per le tue entità di derivazione utilizzando la console. AWS Resource Access Manager Per ulteriori informazioni, consulta Condivisione AWS delle risorse nella Guida per l'AWS Resource Access Manager utente.

La tua policy delle risorse di monitoraggio del lineage multi-account

Amazon SageMaker supporta solo un tipo di politica delle risorse. La politica SageMaker delle risorse deve consentire tutte le seguenti operazioni:

"sagemaker:DescribeAction"
"sagemaker:DescribeArtifact"
"sagemaker:DescribeContext"
"sagemaker:DescribeTrialComponent"
"sagemaker:AddAssociation"
"sagemaker:DeleteAssociation"
"sagemaker:QueryLineage"            
          

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "FullLineageAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012" #account-id
      },
      "Action": [
        "sagemaker:DescribeAction",
        "sagemaker:DescribeArtifact",
        "sagemaker:DescribeContext",
        "sagemaker:DescribeTrialComponent",
        "sagemaker:AddAssociation",
        "sagemaker:DeleteAssociation",
        "sagemaker:QueryLineage"
      ],
      "Resource": "arn:aws:sagemaker:us-west-2:111111111111:lineage-group/sagemaker-default-lineage-group" #Sample lineage group resource 
    }
  ]
}

Monitoraggio delle entità di lineage multi-account

Con il tracciamento della derivazione tra account, puoi associare entità di derivazione in account diversi utilizzando la stessa azione. AddAssociation API Quando si associano due entità di derivazione, SageMaker convalida se si dispone delle autorizzazioni per eseguire l'azione su entrambe le entità di derivazione AddAssociationAPI. SageMaker quindi stabilisce l'associazione. Se non disponi dei permessi, SageMaker non crea l'associazione. Una volta stabilita l'associazione tra account, puoi accedere a entrambe le entità di derivazione dall'altra tramite l'azione. QueryLineage API Per ulteriori informazioni, consulta Esecuzione di query su entità di lineage.

Oltre a creare SageMaker automaticamente le entità di derivazione, se disponete dell'accesso su più account, SageMaker collega gli artefatti che fanno riferimento allo stesso oggetto o allo stesso dato. Se i dati di un account vengono utilizzati nel tracciamento della discendenza da account diversi, SageMaker crea un artefatto in ogni account per tenere traccia di tali dati. Con la funzionalità di derivazione tra account diversi, ogni volta che SageMaker crea nuovi artefatti, SageMaker verifica se ne esistono altri creati per gli stessi dati, anch'essi condivisi con te. SageMaker stabilisce quindi le associazioni tra l'artefatto appena creato e ciascuno degli artefatti condivisi con l'utente con il set to. AssociationType SameAs È quindi possibile utilizzare l'QueryLineageAPIazione per passare dalle entità di derivazione presenti nel proprio account alle entità di derivazione condivise con l'utente ma di proprietà di un altro account. AWS Per ulteriori informazioni, consulta Esecuzione di query su entità di lineage

Accesso alle risorse di lineage da un account diverso

Una volta configurato l'accesso tra account per la condivisione della discendenza, puoi chiamare le seguenti SageMaker API azioni direttamente ARN a per descrivere le entità di derivazione condivise da un altro account:

Puoi anche gestire le associazioni di entità derivate di proprietà di diversi account condivisi con te, utilizzando le seguenti azioni: SageMaker API

Per un taccuino che dimostra come usare SageMaker Lineage APIs per interrogare la derivazione tra account., vedi -with-ram.ipynb. sagemaker-lineage-cross-account

Autorizzazione per l'esecuzione di query su entità di lineage multi-account

Amazon SageMaker deve verificare che tu disponga delle autorizzazioni per eseguire l'QueryLineageAPIazione su. StartArns Ciò viene applicato tramite la policy delle risorse collegata a LineageGroup. Il risultato di questa operazione include tutte le entità di lineage a cui hai accesso, indipendentemente dal fatto che siano di proprietà del tuo account o condivise da un altro account. Per ulteriori informazioni, consulta Esecuzione di query su entità di lineage.