# Etapa 6: criar uma política do IAM para cadernos do SageMaker AI
<a name="create-sagemaker-notebook-policy"></a>

Ao planejar usar cadernos do SageMaker AI com endpoints de desenvolvimento, você deve especificar permissões ao criar o caderno. Você concede essas permissões usando o AWS Identity and Access Management (IAM).

**Para criar uma política do IAM para cadernos do SageMaker AI**

1. Faça login no Console de gerenciamento da AWS e abra o console do IAM, em [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).

1. No painel de navegação à esquerda, escolha **Políticas**.

1. Escolha **Create Policy**.

1. Na página **Create Policy (Criar política)**, navegue até uma guia para editar o JSON. Crie um documento de política com as seguintes instruções JSON. Edite {{bucket-name}}, {{region-code}} e {{account-id}} para o seu ambiente.

------
#### [ JSON ]

****  

   ```
   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Action": [
                   "s3:ListBucket"
               ],
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:s3:::{{amzn-s3-demo-bucket}}"
               ]
           },
           {
               "Action": [
                   "s3:GetObject"
               ],
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:s3:::{{amzn-s3-demo-bucket}}*"
               ]
           },
           {
               "Action": [
                   "logs:CreateLogStream",
                   "logs:DescribeLogStreams",
                   "logs:PutLogEvents",
                   "logs:CreateLogGroup"
               ],
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:logs:{{us-east-1}}:{{111122223333}}:log-group:/aws/sagemaker/*",
                   "arn:aws:logs:{{us-east-1}}:{{111122223333}}:log-group:/aws/sagemaker/*:log-stream:aws-glue-*"
               ]
           },
           {
               "Action": [
                   "glue:UpdateDevEndpoint",
                   "glue:GetDevEndpoint",
                   "glue:GetDevEndpoints"
               ],
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:glue:{{us-east-1}}:{{111122223333}}:devEndpoint/*"
               ]
           },
           {
               "Action": [
                   "sagemaker:ListTags"
               ],
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:sagemaker:{{us-east-1}}:{{111122223333}}:notebook-instance/*"
               ]
           }
       ]
   }
   ```

------

   Em seguida, escolha **Revisar política**. 

   A tabela a seguir descreve as permissões concedidas por esta política.


<table>
<thead>
  <tr><th><b>Ação</b></th><th><b>Recurso</b></th><th><b>Descrição</b></th></tr>
</thead>
<tbody>
  <tr><td><code>"s3:ListBucket*"</code></td><td><code>"arn:aws:s3:::bucket-name"</code></td><td>Concede permissão para listar os buckets do Amazon S3.</td></tr>
  <tr><td><code>"s3:GetObject"</code></td><td><code>"arn:aws:s3:::bucket-name*"</code></td><td>Concede permissão para obter objetos do Amazon S3 usados por cadernos do SageMaker AI.</td></tr>
  <tr><td><code>"logs:CreateLogStream", "logs:DescribeLogStreams", "logs:PutLogEvents", "logs:CreateLogGroup"</code></td><td><code>"arn:aws:logs:region-code:account-id:log-group:/aws/sagemaker/*", "arn:aws:logs:region-code:account-id:log-group:/aws/sagemaker/*:log-stream:aws-glue-*"</code></td><td>Concede permissão para gravar logs no Amazon CloudWatch Logs a partir de cadernos. <br />Convenção de nomenclatura: grava grupos de logs cujos nomes começam com <b>aws-glue</b>.</td></tr>
  <tr><td><code> "glue:UpdateDevEndpoint", "glue:GetDevEndpoint", "glue:GetDevEndpoints"</code></td><td><code>"arn:aws:glue:region-code:account-id:devEndpoint/*"</code></td><td>Concede permissão para usar um endpoint de desenvolvimento em cadernos do SageMaker AI. </td></tr>
  <tr><td><code> "sagemaker:ListTags"</code></td><td><code>"arn:aws:sagemaker:region-code:account-id:notebook-instance/*"</code></td><td>Concede permissão para retornar as tags para um recurso do SageMaker AI. A tag <code>aws-glue-dev-endpoint</code> é obrigatória no caderno do SageMaker AI para conectá-lo a um endpoint de desenvolvimento.</td></tr>
</tbody>
</table>


1. Na tela **Review Policy** (Revisar política), insira o **Policy Name** (Nome da política), por exemplo, `AWSGlueSageMakerNotebook`. Digite uma descrição opcional e, quando estiver satisfeito com a política, escolha **Create policy (Criar política)**.