Rastreando a linhagem entre contas

A Amazon SageMaker oferece suporte ao rastreamento de entidades de linhagem a partir de uma AWS conta diferente. Outras AWS contas podem compartilhar suas entidades de linhagem com você e você pode acessar essas entidades de linhagem por meio de API chamadas diretas ou consultas de SageMaker linhagem.

SageMaker usa AWS Resource Access Managerpara ajudá-lo a compartilhar com segurança seus recursos de linhagem. Você pode compartilhar seus recursos por meio do console do AWS RAM.

Configurar o monitoramento de linhagem entre contas

Você pode agrupar e compartilhar seus Entidades de monitoramento de linhagem por meio de um grupo de linhagem na Amazon SageMaker. SageMaker suporta somente um grupo de linhagem padrão por conta. SageMaker cria o grupo de linhagem padrão sempre que uma entidade de linhagem é criada em sua conta. Cada entidade de linhagem pertencente à sua conta é atribuída a esse grupo de linhagem padrão. Para compartilhar entidades de linhagem com outra conta, você compartilha esse grupo de linhagem padrão com essa conta.

Crie um compartilhamento de recursos para suas entidades de linhagem usando o AWS Resource Access Manager console. Para obter mais informações, consulte Compartilhando seus AWS recursos no Guia AWS Resource Access Manager do usuário.

Sua política de recursos de monitoramento de linhagem entre contas

A Amazon SageMaker oferece suporte a apenas um tipo de política de recursos. A política de SageMaker recursos deve permitir todas as seguintes operações:

"sagemaker:DescribeAction"
"sagemaker:DescribeArtifact"
"sagemaker:DescribeContext"
"sagemaker:DescribeTrialComponent"
"sagemaker:AddAssociation"
"sagemaker:DeleteAssociation"
"sagemaker:QueryLineage"            
          

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "FullLineageAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012" #account-id
      },
      "Action": [
        "sagemaker:DescribeAction",
        "sagemaker:DescribeArtifact",
        "sagemaker:DescribeContext",
        "sagemaker:DescribeTrialComponent",
        "sagemaker:AddAssociation",
        "sagemaker:DeleteAssociation",
        "sagemaker:QueryLineage"
      ],
      "Resource": "arn:aws:sagemaker:us-west-2:111111111111:lineage-group/sagemaker-default-lineage-group" #Sample lineage group resource 
    }
  ]
}

Monitoramento de entidades de linhagem entre contas

Com o rastreamento de linhagem entre contas, você pode associar entidades de linhagem em contas diferentes usando a mesma ação. AddAssociation API Ao associar duas entidades de linhagem, SageMaker valida se você tem permissões para realizar a AddAssociation API ação em ambas as entidades de linhagem. SageMaker em seguida, estabelece a associação. Se você não tiver as permissões, SageMaker não cria a associação. Depois que a associação entre contas for estabelecida, você poderá acessar qualquer entidade de linhagem da outra por meio da QueryLineage API ação. Para obter mais informações, consulte Consultar entidades de linhagem.

Além de criar SageMaker automaticamente entidades de linhagem, se você tiver acesso entre contas, SageMaker conecta artefatos que fazem referência ao mesmo objeto ou dados. Se os dados de uma conta forem usados no rastreamento de linhagem por contas diferentes, SageMaker criará um artefato em cada conta para rastrear esses dados. Com a linhagem entre contas, sempre que SageMaker cria novos artefatos, SageMaker verifica se há outros artefatos criados para os mesmos dados que também são compartilhados com você. SageMaker em seguida, estabelece associações entre o artefato recém-criado e cada um dos artefatos compartilhados com você com o AssociationType conjunto como. SameAs Em seguida, você pode usar a QueryLineage API ação para atravessar as entidades de linhagem em sua própria conta até entidades de linhagem compartilhadas com você, mas pertencentes a uma conta diferente. AWS Para ter mais informações, consulte Consultar entidades de linhagem

Acessando recursos de linhagem de uma conta diferente

Depois que o acesso entre contas para compartilhar linhagem for configurado, você poderá SageMaker API executar as seguintes ações diretamente com o ARN para descrever as entidades de linhagem compartilhada de outra conta:

Você também pode gerenciar associações para entidades de linhagem pertencentes a contas diferentes que são compartilhadas com você, usando as seguintes SageMaker API ações:

Para obter um caderno que demonstra como usar o Lineage para consultar a SageMaker linhagem APIs em várias contas, consulte -with-ram.ipynb. sagemaker-lineage-cross-account

Autorização para consultar entidades de linhagem entre contas

A Amazon SageMaker deve validar que você tem permissões para realizar a QueryLineage API ação noStartArns. Isso é aplicado por meio da política de recursos anexada ao LineageGroup. O resultado dessa ação inclui todas as entidades de linhagem às quais você tem acesso, sejam elas de propriedade da sua conta ou compartilhadas por outra conta. Para obter mais informações, consulte Consultar entidades de linhagem.