Isole os recursos do domínio - Amazon SageMaker
ConsoleAWS CLI

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Isole os recursos do domínio

Importante

IAMPolíticas personalizadas que permitem que o Amazon SageMaker Studio ou o Amazon SageMaker Studio Classic criem SageMaker recursos da Amazon também devem conceder permissões para adicionar tags a esses recursos. A permissão para adicionar tags aos recursos é necessária porque o Studio e o Studio Classic marcam automaticamente todos os recursos que eles criam. Se uma IAM política permitir que o Studio e o Studio Classic criem recursos, mas não permita a marcação, erros AccessDenied "" podem ocorrer ao tentar criar recursos. Para obter mais informações, consulte Forneça permissões para marcar recursos SageMaker.

AWS Políticas gerenciadas para a Amazon SageMakerque dão permissões para criar SageMaker recursos já incluem permissões para adicionar tags ao criar esses recursos.

Você pode isolar recursos entre cada um dos domínios da sua conta Região da AWS usando uma política AWS Identity and Access Management (IAM). Os recursos isolados não serão mais acessados de outros domínios. Neste tópico, discutiremos as condições exigidas para a IAM política e como aplicá-las.

Os recursos que podem ser isolados por essa política são os tipos de recursos que têm chaves de condição contendo aws:ResourceTag/${TagKey} ousagemaker:ResourceTag/${TagKey}. Para obter uma referência sobre os SageMaker recursos e as chaves de condição associadas, consulte Ações, recursos e chaves de condição para a Amazon SageMaker.

Atenção

Os tipos de recursos que não contêm as chaves de condição acima (e, portanto, as ações que usam os tipos de recursos) não são afetados por essa política de isolamento de recursos. Por exemplo, o tipo de recurso de execução de pipeline não contém as chaves de condição acima e não é afetado por essa política. Portanto, algumas ações, com o tipo de recurso de execução de pipeline, não são suportadas para isolamento de recursos:

  • DescribePipelineExecution

  • StopPipelineExecution

  • UpdatePipelineExecution

  • RetryPipelineExecution

  • DescribePipelineDefinitionForExecution

  • ListPipelineExecutionSteps

  • SendPipelineExecutionStepSuccess

  • SendPipelineExecutionStepFailure

O tópico a seguir mostra como criar uma nova IAM política que limita o acesso aos recursos no domínio aos perfis de usuário com a tag de domínio, bem como como anexar essa política à função de IAM execução do domínio. Você deve repetir esse processo para cada domínio em sua conta. Para obter mais informações sobre tags de domínio e preenchimento dessas tags, consulte Visão geral de vários domínios

Console

A seção a seguir mostra como criar uma nova IAM política que limita o acesso aos recursos no domínio aos perfis de usuário com a tag de domínio, bem como como anexar essa política à função de IAM execução do domínio, a partir do SageMaker console da Amazon.

nota

Essa política só funciona em domínios que usam o Amazon SageMaker Studio Classic como experiência padrão.

  1. Crie uma IAM política nomeada StudioDomainResourceIsolationPolicy-domain-id com o seguinte documento JSON de política concluindo as etapas em Criação de IAM políticas (console). 

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAPIs",
            "Effect": "Allow",
            "Action": "sagemaker:Create*",
            "NotResource": [
                "arn:aws:sagemaker:*:*:domain/*",
                "arn:aws:sagemaker:*:*:user-profile/*",
                "arn:aws:sagemaker:*:*:space/*"
            ]
        },
        {
            "Sid": "ResourceAccessRequireDomainTag",
            "Effect": "Allow",
            "Action": [
                "sagemaker:Update*",
                "sagemaker:Delete*",
                "sagemaker:Describe*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/sagemaker:domain-arn": "domain-arn"
                }
            }
        },
        {
            "Sid": "AllowActionsThatDontSupportTagging",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeImageVersion",
                "sagemaker:UpdateImageVersion",
                "sagemaker:DeleteImageVersion",
                "sagemaker:DescribeModelCardExportJob",
                "sagemaker:DescribeAction"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DeleteDefaultApp",
            "Effect": "Allow",
            "Action": "sagemaker:DeleteApp",
            "Resource": "arn:aws:sagemaker:*:*:app/domain-id/*/jupyterserver/default"
        }
    ]
}

  2. Anexe a StudioDomainResourceIsolationPolicy-domain-id política à função de execução do domínio concluindo as etapas em Modificar uma função (console).

AWS CLI

A seção a seguir mostra como criar uma nova IAM política que limita o acesso aos recursos no domínio aos perfis de usuário com a tag de domínio, bem como como anexar essa política à função de execução do domínio, a partir do AWS CLI.

nota

Essa política só funciona em domínios que usam o Amazon SageMaker Studio Classic como experiência padrão.

  1. Crie um arquivo denominado StudioDomainResourceIsolationPolicy-domain-id com o conteúdo a seguir a partir da sua máquina local.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAPIs",
            "Effect": "Allow",
            "Action": "sagemaker:Create*",
            "NotResource": [
                "arn:aws:sagemaker:*:*:domain/*",
                "arn:aws:sagemaker:*:*:user-profile/*",
                "arn:aws:sagemaker:*:*:space/*"
            ]
        },
        {
            "Sid": "ResourceAccessRequireDomainTag",
            "Effect": "Allow",
            "Action": [
                "sagemaker:Update*",
                "sagemaker:Delete*",
                "sagemaker:Describe*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/sagemaker:domain-arn": "domain-arn"
                }
            }
        },
        {
            "Sid": "AllowActionsThatDontSupportTagging",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeImageVersion",
                "sagemaker:UpdateImageVersion",
                "sagemaker:DeleteImageVersion",
                "sagemaker:DescribeModelCardExportJob",
                "sagemaker:DescribeAction"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DeleteDefaultApp",
            "Effect": "Allow",
            "Action": "sagemaker:DeleteApp",
            "Resource": "arn:aws:sagemaker:*:*:app/domain-id/*/jupyterserver/default"
        }
    ]
}

  2. Crie uma nova IAM política usando o StudioDomainResourceIsolationPolicy-domain-id arquivo. 

    aws iam create-policy --policy-name StudioDomainResourceIsolationPolicy-domain-id --policy-document file://StudioDomainResourceIsolationPolicy-domain-id

  3. Anexe a política recém-criada a uma função nova ou existente que seja usada como função de execução do domínio. 

    aws iam attach-role-policy --policy-arn arn:aws:iam:account-id:policy/StudioDomainResourceIsolationPolicy-domain-id --role-name domain-execution-role