Configurar a compatibilidade entre contas para o Pipelines
A compatibilidade entre contas para o Amazon SageMaker Pipelines permite que você colabore em pipelines de machine learning com outras equipes ou organizações que operam em contas AWS diferentes. Ao configurar o compartilhamento de pipeline entre contas, você pode conceder acesso controlado aos pipelines, permitir que outras contas visualizem os detalhes de pipeline, executem ações e monitorem as execuções. O tópico a seguir aborda como configurar o compartilhamento de pipeline entre contas, as diferentes políticas de permissão disponíveis para recursos compartilhados e como acessar e interagir com entidades de pipeline compartilhado por meio de chamadas diretas de API para o SageMaker.
Configurar o compartilhamento de pipeline entre contas
O SageMaker usa o Resource Access Manager da AWS (RAM da AWS) para ajudar você a compartilhar com segurança suas entidades de pipeline entre contas.
Criar o compartilhamento de um recurso
-
Selecione Criar um compartilhamento de recursos por meio do console do AWS RAM
. -
Ao especificar detalhes do compartilhamento de recursos, escolha o tipo de recurso do Pipelines e selecione um ou mais pipelines que você deseja compartilhar. Quando você compartilha um pipeline com qualquer outra conta, todas as suas execuções também são compartilhadas implicitamente.
-
Associar permissões a um compartilhamento de recursos. Escolha a política de permissão padrão somente leitura ou a política de permissão de execução estendida do pipeline. Para obter mais informações detalhadas, consulte Políticas de permissão para recursos do Pipelines.
nota
Se você selecionar a política de execução estendida do pipeline, observe que todos os comandos de início, interrupção e repetição chamados por contas compartilhadas usam recursos na conta da AWS que compartilhou o pipeline.
-
Use IDs de conta da AWS para especificar as contas às quais você deseja conceder acesso aos seus recursos compartilhados.
-
Revise sua configuração de compartilhamento de recursos e selecione Criar compartilhamento de recursos. Pode levar alguns minutos para que os compartilhamentos de recursos e as associações principais sejam concluídos.
Para obter mais informações, consulte Compartilhar seus recursos da AWS no Guia do usuário do Resource Access Manager da AWS.
Receba respostas para seu convite de compartilhamento de recursos
Depois que o compartilhamento de recursos e as associações principais são definidas, as contas da AWS especificadas receberão um convite para participar desse compartilhamento. As contas da AWS devem aceitar o convite para obter acesso a todos os recursos compartilhados.
Para obter mais informações sobre como aceitar um convite de compartilhamento de recursos por meio de AWS RAM, consulte Usando AWS recursos compartilhados no Guia do Usuário do Resource Access Manager da AWS.
Políticas de permissão para recursos do Pipelines
Ao criar seu compartilhamento de recursos, escolha uma das duas políticas de permissão compatíveis para associar ao tipo de recurso do pipeline do SageMaker. Ambas as políticas concedem acesso a qualquer pipeline selecionado e a todas as suas execuções.
Permissões somente leitura padrão
A política AWSRAMDefaultPermissionSageMakerPipeline permite as seguintes ações somente leitura:
"sagemaker:DescribePipeline" "sagemaker:DescribePipelineDefinitionForExecution" "sagemaker:DescribePipelineExecution" "sagemaker:ListPipelineExecutions" "sagemaker:ListPipelineExecutionSteps" "sagemaker:ListPipelineParametersForExecution" "sagemaker:Search"
Permissões estendidas de execução de pipeline
A política AWSRAMPermissionSageMakerPipelineAllowExecution inclui todas as permissões de somente leitura da política padrão e também permite que contas compartilhadas iniciem, parem e tentem novamente as execuções do pipeline.
nota
Esteja atento ao uso de recursos AWS ao usar a política estendida de permissão de execução do pipeline. Com essa política, as contas compartilhadas podem iniciar, interromper e repetir as execuções do pipeline. Todos os recursos usados para execuções de funis compartilhados são consumidos pela conta do proprietário.
A política de permissão de execução de pipeline estendida permite as seguintes ações:
"sagemaker:DescribePipeline" "sagemaker:DescribePipelineDefinitionForExecution" "sagemaker:DescribePipelineExecution" "sagemaker:ListPipelineExecutions" "sagemaker:ListPipelineExecutionSteps" "sagemaker:ListPipelineParametersForExecution" "sagemaker:StartPipelineExecution" "sagemaker:StopPipelineExecution" "sagemaker:RetryPipelineExecution" "sagemaker:Search"
Acesse entidades de pipeline compartilhadas por meio de chamadas diretas de API
Depois que o compartilhamento de pipeline entre contas estiver configurado, você poderá chamar as seguintes ações da API do SageMaker usando um ARN de pipeline:
nota
Você só pode chamar comandos da API se eles estiverem incluídos nas permissões associadas ao seu compartilhamento de recursos. Se você selecionar a política AWSRAMPermissionSageMakerPipelineAllowExecution, os comandos start, stop e retry usarão recursos na conta da AWS que compartilhou o pipeline.
