ML 수명 주기 전반에 걸쳐 대용량 데이터를 사용할 수 있는 권한을 사용자에게 부여하십시오.

Amazon SageMaker 도메인 설정으로 이동합니다.

1. 에서 Amazon SageMaker 콘솔을 엽니다 https://console.aws.amazon.com/sagemaker/.

2. 왼쪽 탐색 창에서 도메인을 선택합니다.

3. 도메인을 선택합니다.

4. 앱 구성 탭을 선택합니다.

5. 캔버스 섹션으로 스크롤하여 편집을 선택합니다.

대용량 데이터 처리 활성화:

1. 대용량 데이터 처리 구성 섹션에서 대용량 데이터 처리를 위한 EMR 서버리스 활성화를 설정합니다.

2. EMR서버리스 역할 생성 또는 선택:

   1. [Create] 를 선택하고 새 실행 역할을 사용하여 EMR Serverless와 신뢰 관계가 있고 AWS 관리형 정책: AmazonSageMakerCanvas EMRServerlessExecutionRolePolicy 정책이 연결된 새 IAM 역할을 생성합니다. Canvas는 이 IAM 역할을 맡아 EMR 서버리스 작업을 생성합니다.

   2. 또는 EMR 서버리스에 대한 신뢰 관계가 있는 실행 역할이 이미 있는 경우 기존 실행 역할 사용을 선택하고 드롭다운에서 역할을 선택합니다.

      • 기존 역할의 이름은 접두사로 시작해야 합니다. AmazonSageMakerCanvasEMRSExecutionAccess-

      • 또한 선택한 역할에는 최소한 AWS 관리형 정책: AmazonSageMakerCanvas EMRServerlessExecutionRolePolicy 정책에 설명된 권한이 있어야 합니다.

      • 역할에는 아래와 같이 EMR 서버리스 신뢰 정책이 있어야 합니다.

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "EMRServerlessTrustPolicy",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "emr-serverless.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "<your-account-id>"
                        }
                    }
                }
            ]
        }

(선택 사항) 사용자 지정 Amazon S3 버킷에 대한 Amazon S3 권한을 추가합니다.

1. Canvas 관리형 정책은 이름이 sagemaker 포함되거나 SageMaker 이름이 포함된 Amazon S3 버킷에 대한 읽기 및 쓰기 권한을 자동으로 부여합니다. 또한 태그가 "SageMaker": "true" 있는 사용자 지정 Amazon S3 버킷의 객체에 대한 읽기 권한을 부여합니다.

2. 필수 태그가 없는 사용자 지정 Amazon S3 버킷의 경우 EMR 서버리스 역할에 다음 정책을 추가하십시오.

3. {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],
               "Resource": [
                   "arn:aws:s3:::*"
               ]
           }
       ]
   }

4. Canvas에서 액세스할 수 있는 특정 Amazon S3 버킷으로 권한 범위를 좁히는 것이 좋습니다.

변경 내용을 저장하고 SageMaker Canvas 애플리케이션을 다시 시작하십시오.

Canvas는 데이터 준비 및 모델 교육에 공개 Amazon ECR Docker 이미지를 사용하므로 Amazon SageMaker 실행 역할에 Amazon ECR DescribeImages 작업에 대한 권한을 추가합니다.

1. 로그인하십시오. AWS 에서 콘솔을 열고 IAM 콘솔을 엽니다 https://console.aws.amazon.com/iam/.

2. 역할을 선택합니다.

3. 검색 상자에서 SageMaker 실행 역할을 이름으로 검색하고 선택합니다.

4. SageMaker 실행 역할에 다음 정책을 추가합니다. 새 인라인 정책으로 추가하거나 기존 정책에 정책 설명을 추가하여 이 작업을 수행할 수 있습니다. 단, IAM 역할에는 최대 10개의 정책을 연결할 수 있습니다.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "ECRDescribeImagesOperation",
           "Effect": "Allow",
           "Action": "ecr:DescribeImages",
           "Resource": [
               "arn:aws:ecr:*:*:repository/sagemaker-data-wrangler-emr-container",
               "arn:aws:ecr:*:*:repository/ap-dataprep-emr"
           ]
       }]
   }

변경 내용을 저장하고 SageMaker Canvas 애플리케이션을 다시 시작합니다.

VPC서브넷이 비공개인지 확인하십시오.

1. 서브넷의 라우팅 테이블에 Internet 0.0.0.0/0 Gateway로의 항목 매핑이 없는지 확인하십시오.

네트워크 인터페이스 생성을 위한 권한 추가:

1. 대규모 데이터 처리를 위해 SageMaker Canvas와 EMR Serverless를 사용하는 경우 EMR 서버리스는 EMR 서버리스 애플리케이션과 리소스 간의 네트워크 통신을 가능하게 EC2 ENIs 하기 위해 Amazon을 생성할 수 있는 기능이 필요합니다. VPC

2. Amazon SageMaker 실행 역할에 다음 정책을 추가합니다. 새 인라인 정책으로 추가하거나 기존 인라인 정책에 정책 설명을 추가하여 이 작업을 수행할 수 있습니다. 단, IAM 역할에는 최대 10개의 정책을 연결할 수 있습니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowEC2ENICreation",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateNetworkInterface"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:CalledViaLast": "ops.emr-serverless.amazonaws.com"
                   }
               }
           }
       ]
   }

(선택 사항) ENI 생성을 특정 서브넷으로 제한합니다.

1. 내 서브넷의 생성을 특정 서브넷으로 제한하여 설정을 더욱 안전하게 ENIs 보호하려면 각 서브넷에 특정 VPC 조건을 지정하여 태그를 지정할 수 있습니다.

2. 다음 IAM 정책을 사용하여 EMR 서버리스 애플리케이션이 허용된 서브넷 및 보안 그룹 EC2 ENIs 내에서만 Amazon을 생성할 수 있도록 하십시오.

   {
       "Sid": "AllowEC2ENICreationInSubnetAndSecurityGroupWithEMRTags",
       "Effect": "Allow", 
       "Action": [
           "ec2:CreateNetworkInterface"
       ],
       "Resource": [
           "arn:aws:ec2:*:*:subnet/*",
           "arn:aws:ec2:*:*:security-group/*"
       ],
       "Condition": {
           "StringEquals": {
               "aws:ResourceTag/KEY": "VALUE"
           }
       }
   }

페이지의 인터넷에 접속할 수 VPC 없는 SageMaker 환경에서 Amazon Canvas를 구성하세요. 단계에 따라 Amazon S3의 엔드포인트를 설정합니다. 이 VPC 엔드포인트는 EMR 서버리스 및 기타에 필요합니다. AWS SageMaker Canvas에서 사용하는 서비스.

변경 내용을 저장하고 SageMaker Canvas 애플리케이션을 다시 시작합니다.