Conceda aos usuários permissões para usar grandes volumes de dados em todo o ciclo de vida do ML

Navegue até as configurações de SageMaker domínio da Amazon:

1. Abra o SageMaker console da Amazon em https://console.aws.amazon.com/sagemaker/.

2. No painel de navegação à esquerda, escolha Domínios.

3. Selecione o seu domínio.

4. Escolha a guia Configurações do aplicativo.

5. Role até a seção Canvas e escolha Editar.

Habilite o processamento de grandes dados:

1. Na seção Configuração de processamento de dados grandes, ative Ativar EMR sem servidor para processamento de dados grandes.

2. Crie ou selecione uma função EMR sem servidor:

   1. Escolha Criar e use uma nova função de execução para criar uma nova IAM função que tenha uma relação de confiança com o EMR Serverless e a AWS política gerenciada: AmazonSageMakerCanvas EMRServerlessExecutionRolePolicy política anexada. Essa IAM função é assumida pelo Canvas para criar EMR trabalhos sem servidor.

   2. Como alternativa, se você já tiver uma função de execução com uma relação de confiança para EMR Serverless, selecione Usar uma função de execução existente e escolha sua função no menu suspenso.

      • A função existente deve ter um nome que comece com o prefixoAmazonSageMakerCanvasEMRSExecutionAccess-.

      • A função selecionada também deve ter pelo menos as permissões descritas na AWS política gerenciada: AmazonSageMakerCanvas EMRServerlessExecutionRolePolicy política.

      • A função deve ter uma política de confiança EMR sem servidor, conforme mostrado abaixo:

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "EMRServerlessTrustPolicy",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "emr-serverless.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "<your-account-id>"
                        }
                    }
                }
            ]
        }

(Opcional) Adicione permissões do Amazon S3 para buckets personalizados do Amazon S3:

1. A política gerenciada do Canvas concede automaticamente permissões de leitura e gravação para buckets do Amazon S3 com sagemaker ou SageMaker em seus nomes. Ele também concede permissões de leitura para objetos em buckets personalizados do Amazon S3 com a tag. "SageMaker": "true"

2. Para buckets personalizados do Amazon S3 sem a tag necessária, adicione a seguinte política à sua EMR função Serverless:

3. {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],
               "Resource": [
                   "arn:aws:s3:::*"
               ]
           }
       ]
   }

4. Recomendamos que você defina o escopo das permissões para buckets específicos do Amazon S3 que você deseja que o Canvas acesse.

Salve suas alterações e reinicie seu aplicativo SageMaker Canvas.

Adicione permissões para a ECR DescribeImages operação da Amazon à sua função de SageMaker execução da Amazon, pois o Canvas utiliza imagens públicas do Amazon ECR Docker para preparação de dados e treinamento de modelos:

1. Faça login no AWS console e abra o IAM console em https://console.aws.amazon.com/iam/.

2. Escolha Perfis.

3. Na caixa de pesquisa, pesquise sua função de SageMaker execução pelo nome e selecione-a.

4. Adicione a política a seguir à sua função SageMaker de execução. Isso pode ser feito adicionando-a como uma nova política embutida ou anexando a declaração de política a uma existente. Observe que uma IAM função pode ter no máximo 10 políticas anexadas.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "ECRDescribeImagesOperation",
           "Effect": "Allow",
           "Action": "ecr:DescribeImages",
           "Resource": [
               "arn:aws:ecr:*:*:repository/sagemaker-data-wrangler-emr-container",
               "arn:aws:ecr:*:*:repository/ap-dataprep-emr"
           ]
       }]
   }

Salve suas alterações e reinicie seu aplicativo SageMaker Canvas.

Certifique-se de que suas VPC sub-redes sejam privadas:

1. Verifique se a tabela de rotas de suas sub-redes não tem um mapeamento de entrada 0.0.0.0/0 para um Gateway da Internet.

Adicione permissões para criar interfaces de rede:

1. Ao usar o SageMaker Canvas com o EMR Serverless para processamento de dados em grande escala, o EMR Serverless exige a capacidade de criar a Amazon EC2 ENIs para permitir a comunicação de rede entre aplicativos sem EMR servidor e seus recursos. VPC

2. Adicione a seguinte política à sua função de SageMaker execução da Amazon. Isso pode ser feito adicionando-a como uma nova política embutida ou anexando a declaração de política a uma existente. Observe que uma IAM função pode ter no máximo 10 políticas anexadas.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowEC2ENICreation",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateNetworkInterface"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:CalledViaLast": "ops.emr-serverless.amazonaws.com"
                   }
               }
           }
       ]
   }

(Opcional) Restrinja a ENI criação a sub-redes específicas:

1. Para proteger ainda mais sua configuração, restringindo a criação de ENIs algumas sub-redes dentro da suaVPC, você pode marcar cada sub-rede com condições específicas.

2. Use a IAM política a seguir para garantir que os aplicativos EMR sem servidor possam criar a Amazon somente EC2 ENIs dentro das sub-redes e grupos de segurança permitidos:

   {
       "Sid": "AllowEC2ENICreationInSubnetAndSecurityGroupWithEMRTags",
       "Effect": "Allow", 
       "Action": [
           "ec2:CreateNetworkInterface"
       ],
       "Resource": [
           "arn:aws:ec2:*:*:subnet/*",
           "arn:aws:ec2:*:*:security-group/*"
       ],
       "Condition": {
           "StringEquals": {
               "aws:ResourceTag/KEY": "VALUE"
           }
       }
   }

Siga as etapas na página Configure o Amazon SageMaker Canvas em um VPC ambiente sem acesso à internet para definir o VPC endpoint para o Amazon S3, que é exigido EMR pelo Serverless e por AWS outros serviços usados pelo Canvas. SageMaker

Salve suas alterações e reinicie seu aplicativo SageMaker Canvas.