のIAMアクセス許可を設定する MLflow

Amazon MLflowで を開始するには、必要なIAMサービスロールを設定する必要があります SageMaker。

Studio で実験にアクセスするための新しい Amazon SageMaker ドメインを作成する場合は、ドメインのセットアップ中に必要なIAMアクセス許可を設定できます。詳細については、「新しいドメインを作成するときにMLflowIAMアクセス許可を設定する」を参照してください。

IAM コンソールを使用してアクセス許可を設定するには、「」を参照してくださいIAM コンソールで必要なIAMサービスロールを作成する。

sagemaker-mlflow アクションの承認コントロールを設定する必要があります。オプションで、より詳細な承認コントロールを定義して、アクション固有のMLflowアクセス許可を管理できます。詳細については、「アクション固有の承認コントロールを作成する」を参照してください。

新しいドメインを作成するときにMLflowIAMアクセス許可を設定する

組織の新しい Amazon SageMaker ドメインを設定するときは、ユーザーと ML アクティビティ設定を使用してドメインサービスロールのIAMアクセス許可を設定できます。

Amazon SageMaker Role Manager では、次の MLflow ML アクティビティを使用できます。

Role Manager での ML アクティビティの詳細については、「」を参照してくださいML アクティビティリファレンス。

IAM コンソールで必要なIAMサービスロールを作成する

ドメインサービスロールを作成または更新していない場合は、代わりに IAMコンソールで次のサービスロールを作成して、MLflow追跡サーバーを作成および使用する必要があります。

IAM 追跡サーバーIAMサービスロールのポリシー

追跡サーバーIAMサービスロールは、Amazon S3 や SageMaker Model Registry など、追跡サーバーが必要とするリソースにアクセスするために使用します。

追跡サーバーIAMサービスロールを作成するときは、次のIAM信頼ポリシーを使用します。

{
     "Version": "2012-10-17",
     "Statement": [
         {
             "Effect": "Allow",
             "Principal": {
                 "Service": [                     
                      "sagemaker.amazonaws.com"
                 ]
             },
             "Action": "sts:AssumeRole"
         }
     ]
 }

IAM コンソールで、追跡サーバーサービスロールに次のアクセス許可ポリシーを追加します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:Put*",
                "s3:List*",
                "sagemaker:AddTags",
                "sagemaker:CreateModelPackageGroup",
                "sagemaker:CreateModelPackage",
                "sagemaker:UpdateModelPackage",
                "sagemaker:DescribeModelPackageGroup"
            ],
            "Resource": "*"
        }
    ]
}

IAM SageMaker IAMサービスロールの ポリシー

SageMaker サービスロールは、MLflow追跡サーバーにアクセスするクライアントによって使用され、 MLflow REST を呼び出すためのアクセス許可が必要ですAPIs。 SageMaker サービスロールには、追跡サーバーを作成、更新、開始、停止、削除するためのアクセス許可も必要です SageMaker API。

新しいロールを作成するか、既存のロールを更新できます。 SageMaker サービスロールには次のポリシーが必要です。

{
    "Version": "2012-10-17",    
    "Statement": [        
        {            
            "Effect": "Allow",            
            "Action": [
                "sagemaker-mlflow:*",
                "sagemaker:CreateMlflowTrackingServer",
                "sagemaker:UpdateMlflowTrackingServer",
                "sagemaker:DeleteMlflowTrackingServer",
                "sagemaker:StartMlflowTrackingServer",
                "sagemaker:StopMlflowTrackingServer",
                "sagemaker:CreatePresignedMlflowTrackingServerUrl"
            ],            
            "Resource": "*"        
        }        
    ]
}

アクション固有の承認コントロールを作成する

には認証コントロールを設定する必要があります。オプションでsagemaker-mlflow、ユーザーがMLflow追跡サーバーに対して持つより詳細なMLflowアクセス許可を管理するように、アクション固有の認証コントロールを設定できます。

次のコマンドは、 という名前のファイルを作成しmlflow-policy.json、すべての利用可能な SageMaker MLflowアクションに対するIAMアクセス許可をトラッキングサーバーに提供します。オプションで、ユーザーに実行させたい特定のアクションを選択することで、ユーザーに付与されるアクセス許可を制限できます。使用可能なアクションのリストについては、「IAM でサポートされているアクション MLflow」を参照してください。

# Replace "Resource":"*" with "Resource":"TrackingServerArn" 
# Replace "sagemaker-mlflow:*" with specific actions

printf '{
    "Version": "2012-10-17",    
    "Statement": [        
        {            
            "Effect": "Allow",            
            "Action": "sagemaker-mlflow:*",            
            "Resource": "*"        
        }        
    ]
}' > mlflow-policy.json

mlflow-policy.json ファイルを使用して、 を使用してIAMポリシーを作成します AWS CLI。

aws iam create-policy \
  --policy-name MLflowPolicy \
  --policy-document file://mlflow-policy.json

アカウント ID を取得し、ポリシーをIAMロールにアタッチします。

# Get your account ID
aws sts get-caller-identity

# Attach the IAM policy using your exported role and account ID
aws iam attach-role-policy \
  --role-name $role_name \
  --policy-arn arn:aws:iam::123456789012:policy/MLflowPolicy

IAM でサポートされているアクション MLflow

認証アクセスコントロールでは、次の SageMaker MLflowアクションがサポートされています。