Studio에서 Amazon EKS 클러스터 설정

액세스 관리 페이지에서 기존 도메인을 선택합니다. HyperPod 클러스터에 대한 Studio 액세스는 도메인을 통해 실행되며 도메인 실행 역할은 Studio가 클러스터에서 작업하는 데 사용하는 IAM 보안 주체입니다. 도메인 생성에 대한 자세한 내용은 Amazon SageMaker AI 설정 가이드 섹션을 참조하세요.

IAM 콘솔에서 실행 역할에 다음 권한을 연결합니다.

SageMaker AI 실행 역할과 편집 방법에 대한 자세한 내용은 도메인 공간 권한 및 실행 역할 이해 섹션을 참조하세요.

IAM 사용자 또는 그룹에 정책을 연결하는 방법을 알아보려면 IAM 자격 증명 권한 추가 및 제거를 참조하세요.

정책을 연결하기 전에 두 예제 ARNs 모두 자체 ARN으로 바꿉니다.

두 개의 ARNs. SageMaker AI 콘솔에서 HyperPod 클러스터 ARN을 찾고 Amazon EKS 콘솔에서 Amazon EKS 클러스터 ARN을 찾습니다. 예제 값을 그대로 두면 Studio가 클러스터를 설명할 수 없으며 작업 탭이 로드되지 않습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DescribeHyperpodClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeCluster"
            ],
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:cluster/hyperpod-cluster-name"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:CompleteLayerUpload",
                "ecr:GetAuthorizationToken",
                "ecr:UploadLayerPart",
                "ecr:InitiateLayerUpload",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "cloudwatch:GetMetricData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "UseEksClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:AccessKubernetesApi",
                "eks:MutateViaKubernetesApi"
            ],
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name"
        },
        {
            "Sid": "DescribeSpacesAddon",
            "Effect": "Allow",
            "Action": "eks:DescribeAddon",
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name/*"
        },
        {
            "Sid": "ListClustersPermission",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListClusters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:TerminateSession"
            ],
            "Resource": "*"
        }
    ]
}

클러스터 액세스 정책을 실행 역할에 연결합니다. 이전 단계의 IAM 정책을 사용하면 실행 역할이 AWS APIs. 역할에 Kubernetes 클러스터 내의 권한을 부여하지 않습니다. 클러스터 액세스 정책은 이를 수행하며 올바른 역할이 연결된 역할만 클러스터에 도달합니다. 액세스 관리, 도메인 또는 사용자 프로필에서 연결합니다.

액세스 권한을 부여할 도메인 또는 사용자 프로필의 실행 역할을 선택한 다음 사용자에게 필요한 정책을 선택합니다. 팀이 클러스터를 공유할 때 네임스페이스 또는 전체 클러스터에 대한 액세스 범위를 지정하고 네임스페이스로 범위를 지정한 다음 저장할지 여부를 선택합니다. 네임스페이스로 범위를 지정하면 해당 사용자가 Studio에서 볼 수 있는 작업도 제한됩니다. 각 정책에서 허용하는 내용, 액세스 범위 지정 방법 및 대신 사용자 지정 권한 세트를 부여하는 방법은 섹션을 참조하세요Studio에서 EKS 클러스터에 대한 작업 보기 제한.

이러한 방식으로 액세스 권한을 부여하면 실행 역할에 대한 Amazon EKS 액세스 항목이 생성되므로 Amazon EKS 콘솔에는 별도의 단계가 없습니다. 액세스 모델의 개념은 IAM 사용자에게 EKS 액세스 항목을 사용하여 Kubernetes에 대한 액세스 권한 부여를 참조하세요.

(선택 사항) 보다 원활한 경험을 보장하려면 클러스터에 태그를 추가하는 것이 좋습니다. 태그를 추가하는 방법에 대한 자세한 내용은 SageMaker HyperPod 클러스터 편집 섹션을 참조하고 SageMaker AI 콘솔을 사용하여 클러스터를 업데이트하세요.

Studio 도메인에 Amazon Managed Grafana 작업 영역 태그를 지정합니다. 이 태그를 사용하여 Studio의 클러스터에서 직접 Grafana 워크스페이스에 연결합니다. 클러스터에 다음 태그를 추가하여 Grafana 워크스페이스 ID 로 식별합니다ws-id.

태그 키 = 'grafana-workspace', 태그 값 = 'ws-id'.

YAML 구성을 cluster-role.yaml이라는 파일에 저장합니다.

Kubernetes 웹 kubectl 사이트에서를 사용하여 구성을 적용합니다.

kubectl apply -f cluster-role.yaml

구성을 확인합니다.

kubectl get clusterrole pods-events-crd-cluster-role
kubectl get clusterrolebinding pods-events-crd-cluster-role-binding

ID 제공업체 또는 IAM을 통해 pods-events-crd-cluster-level 그룹에 사용자를 할당합니다.