As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
AWS Identity and Access Management para SageMaker HyperPod
AWS Identity and Access Management (IAM) é um AWS serviço que ajuda um administrador a controlar com segurança o acesso aos AWS recursos. Os administradores do IAM controlam quem pode ser autenticado (conectado) e autorizado (ter permissões) para usar os recursos do Amazon EKS. O IAM é um AWS serviço que você pode usar sem custo adicional.
Importante
As políticas personalizadas do IAM que permitem que o Amazon SageMaker Studio ou o Amazon SageMaker Studio Classic criem SageMaker recursos da Amazon também devem conceder permissões para adicionar tags a esses recursos. A permissão para adicionar tags aos recursos é necessária porque o Studio e o Studio Classic marcam automaticamente todos os recursos que eles criam. Se uma política do IAM permite que o Studio e o Studio Classic criem recursos, mas não permitem a marcação, erros AccessDenied "" podem ocorrer ao tentar criar recursos. Para obter mais informações, consulte Forneça permissões para marcar recursos de SageMaker IA.
AWS políticas gerenciadas para Amazon SageMaker AIque dão permissões para criar SageMaker recursos já incluem permissões para adicionar tags ao criar esses recursos.
Vamos supor que haja duas camadas principais de SageMaker HyperPod usuários: usuários administradores de cluster e usuários de cientistas de dados.
-
Usuários administradores de clusters — são responsáveis por criar e gerenciar SageMaker HyperPod clusters. Isso inclui configurar os HyperPod clusters e gerenciar o acesso do usuário a eles.
-
Crie e configure SageMaker HyperPod clusters com o Slurm ou o Amazon EKS.
-
Crie e configure funções do IAM para usuários de cientistas de dados e recursos de HyperPod cluster.
-
Para SageMaker HyperPod orquestração com o Amazon EKS, crie e configure as entradas de acesso do EKS, o controle de acesso baseado em funções (RBAC) e o Pod Identity para atender aos casos de uso da ciência de dados.
-
-
Usuários cientistas de dados: concentram-se no treinamento de modelo de ML. Eles usam o orquestrador de código aberto ou a SageMaker HyperPod CLI para enviar e gerenciar trabalhos de treinamento.
-
Assuma e use o perfil do IAM fornecida pelos usuários administradores do cluster.
-
Interaja com as CLIs do orquestrador de código aberto suportadas pelo SageMaker HyperPod (Slurm ou Kubernetes) ou com a SageMaker HyperPod CLI para verificar a capacidade do cluster, conectar-se ao cluster e enviar cargas de trabalho.
-
Configure funções do IAM para administradores de cluster anexando as permissões ou políticas corretas para operar clusters. SageMaker HyperPod Os administradores de cluster também devem criar funções do IAM para fornecer SageMaker HyperPod recursos que possam ser executados e comunicados com AWS os recursos necessários, como Amazon S3 CloudWatch, Amazon e AWS Systems Manager (SSM). Por fim, o administrador da AWS conta ou os administradores do cluster devem conceder aos cientistas permissões para acessar os SageMaker HyperPod clusters e executar cargas de trabalho de ML.
Dependendo do orquestrador escolhido, as permissões necessárias para o administrador do cluster e os cientistas podem variar. É possível também controlar o escopo das permissões para várias ações nas funções usando as chaves de condição por serviço. Use as seguintes referências de autorização de serviço para adicionar um escopo detalhado aos serviços relacionados SageMaker HyperPod a.
-
Amazon Elastic Container Registry (para orquestração de SageMaker HyperPod clusters com o Amazon EKS)
-
Amazon Elastic Kubernetes Service (para orquestração de SageMaker HyperPod clusters com o Amazon EKS)
Tópicos
Permissões do IAM para criação de clusters
A criação de HyperPod clusters exige as permissões do IAM descritas no exemplo de política a seguir. Se você Conta da AWS tiver AdministratorAccess permissões, essas permissões serão concedidas por padrão.
Usuários do IAM para administração de cluster
Os administradores de clusters (administradores) operam e configuram SageMaker HyperPod clusters, executando as tarefas em. SageMaker HyperPod Operações de cluster Slurm O exemplo de política a seguir inclui o conjunto mínimo de permissões para administradores de cluster executarem as APIs SageMaker HyperPod principais e gerenciarem SageMaker HyperPod clusters em sua AWS conta.
nota
Os usuários do IAM com funções de administrador de cluster podem usar chaves de condição para fornecer controle de acesso granular ao gerenciar recursos de SageMaker HyperPod cluster especificamente para as UpdateCluster ações CreateCluster e. Para encontrar as chaves de condição compatíveis com essas ações, pesquise CreateCluster ou UpdateCluster nas Ações definidas pela SageMaker IA.
Para conceder permissões para acessar o console de SageMaker IA, use a política de amostra fornecida em Permissões necessárias para usar o console de SageMaker IA da Amazon.
Para conceder permissões para acessar o console do Amazon EC2 Systems Manager, use a política de exemplo fornecida em Usando o AWS Systems Manager console no Guia do AWS Systems Manager usuário.
Você também pode considerar anexar a AmazonSageMakerFullAccess política à função; no entanto, observe que a AmazonSageMakerFullAccess política concede permissões a todas as chamadas, recursos e recursos da SageMaker API.
Para orientação sobre usuários do IAM em geral, consulte Usuários do IAM no Guia do usuário do AWS Identity and Access Management .
Usuários do IAM para cientistas
Cientistas fazem login e executam cargas de trabalho de ML em nós de SageMaker HyperPod cluster provisionados por administradores de cluster. Para cientistas em sua AWS conta, você deve conceder a permissão "ssm:StartSession" para executar o start-session comando SSM. Veja a seguir um exemplo de política para os usuários do IAM.
Função do IAM para SageMaker HyperPod
Para que os SageMaker HyperPod clusters sejam executados e se comuniquem com AWS os recursos necessários, você precisa criar uma função do IAM para o HyperPod cluster assumir.
Comece anexando a função AWS política gerenciada: AmazonSageMakerHyperPodServiceRolePolicy gerenciada. Com essa política AWS gerenciada, os grupos de instâncias de SageMaker HyperPod cluster assumem a função de se comunicar com a Amazon CloudWatch, o Amazon S3 e o AWS Systems Manager Agente (Agente SSM). Essa política gerenciada é o requisito mínimo para que SageMaker HyperPod os recursos sejam executados adequadamente, portanto, você deve fornecer uma função do IAM com essa política para todos os grupos de instâncias.
dica
Dependendo da sua preferência em criar o nível de permissões para vários grupos de instâncias, você também pode configurar vários perfis do IAM e anexá-las a diferentes grupos de instâncias. Quando você configura o acesso de usuário do cluster a nós específicos do SageMaker HyperPod cluster, os nós assumem a função com as permissões seletivas que você anexou manualmente.
Quando você configura o acesso dos cientistas a nós específicos do cluster por meio de AWS Systems Manager
Depois de concluir a criação dos perfis do IAM, anote seus nomes e ARNs. Você usa as funções ao criar um SageMaker HyperPod cluster, concedendo as permissões corretas necessárias para que cada grupo de instâncias se comunique com AWS os recursos necessários.
