从 Lambda 函数访问机器学习资源

选择 无系统组 作为机器学习资源的资源拥有者。当只有容器化 Lambda 函数访问机器学习资源时，这是建议使用的设置。否则，您可能会为附加的 Lambda 函数授予比其所需更多的访问权限。

指定要用作机器学习资源的资源拥有者的系统组的 ID (GID)。选择 指定系统组和权限，然后输入 GID。您可以在您的核心设备上使用 getent group 命令查找系统组的 ID。

为系统组权限选择 只读访问权限或 读写访问权限。

对于容器化 Lambda 函数，请在 ResourceAccessPolicies 属性的 Permission 属性中定义访问权限。例如：

"Functions": [
    {
        "Id": "my-containerized-function",
        "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", 
        "FunctionConfiguration": {
            "Environment": {
                "ResourceAccessPolicies": [
                    { 
                        "ResourceId": "my-resource-id",
                        "Permission": "ro-or-rw"
                    }
                ]
            }, 
            "MemorySize": 512, 
            "Pinned": true, 
            "Timeout": 5
        }
    }
]

对于机器学习资源，请省略 OwnerSetting 属性。例如：

"Resources": [
    {
        "Id": "my-resource-id",
        "Name": "my-resource-name",
        "ResourceDataContainer": {
            "S3MachineLearningModelResourceData": {
                "DestinationPath": "/local-destination-path",
                "S3Uri": "s3://uri-to-resource-package"
            }
        }
    }
]

当只有容器化 Lambda 函数访问机器学习资源时，这是推荐的配置。否则，您可能会为附加的 Lambda 函数授予比其所需更多的访问权限。

对于非容器化 Lambda 函数，请省略 ResourceAccessPolicies 中的 Permission 属性。此配置是必需的，并允许函数继承资源级权限。例如：

"Functions": [
    {
        "Id": "my-non-containerized-function",
        "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", 
        "FunctionConfiguration": {
            "Environment": {
                "Execution": {
                    "IsolationMode": "NoContainer",
                },            
                "ResourceAccessPolicies": [
                    { 
                        "ResourceId": "my-resource-id"
                    }
                ]
            }, 
            "Pinned": true, 
            "Timeout": 5
        }
    }
]

对于同时访问机器学习资源的容器化 Lambda 函数，请省略 ResourceAccessPolicies 中的 Permission 属性， 或定义与资源级权限相同或更具限制性的权限。例如：

"Functions": [
    {
        "Id": "my-containerized-function",
        "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", 
        "FunctionConfiguration": {
            "Environment": {
                "ResourceAccessPolicies": [
                    { 
                        "ResourceId": "my-resource-id",
                        "Permission": "ro-or-rw" // Optional, but cannot exceed the GroupPermission defined for the resource.
                    }
                ]
            }, 
            "MemorySize": 512, 
            "Pinned": true, 
            "Timeout": 5
        }
    }
]

对于机器学习资源，请定义 OwnerSetting 属性，包括子 GroupOwner 和 GroupPermission 属性。例如：

"Resources": [
    {
        "Id": "my-resource-id",
        "Name": "my-resource-name",
        "ResourceDataContainer": {
            "S3MachineLearningModelResourceData": {
                "DestinationPath": "/local-destination-path",
                "S3Uri": "s3://uri-to-resource-package",
                "OwnerSetting": { 
                    "GroupOwner": "os-group-id",
                    "GroupPermission": "ro-or-rw"
                }
            }
        }
    }
]