本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Kubernet SageMaker es 的旧运算符

本节基于 Kubernetes SageMaker 操作员的原始版本。

为 Kubernetes 安装 SageMaker 操作员

使用以下步骤安装和使用适用于 Kubernetes 的 SageMaker 操作员，以便通过 Amazon 训练、调整和部署机器学习模型。 SageMaker

IAM基于角色的设置和操作员部署

以下几节描述了设置和部署 Operator 原始版本的步骤。

先决条件

本教程假设您已完成以下先决条件：

集群范围部署

在使用IAM角色部署操作员之前，请将 OpenID Connect (OIDC) 身份提供商 (IdP) 与您的角色关联，以便通过服务进行身份验证。IAM

为您的集群创建OIDC提供商

以下说明说明如何创建OIDC提供商并将其与您的 Amazon EKS 集群关联。

现在，集群有了OIDC身份提供商，您可以创建一个角色并授予 Kubernetes 代入该角色的 ServiceAccount 权限。

获取OIDC身份证

要设置 ServiceAccount，请URL使用以下命令获取OIDC颁发者：

aws eks describe-cluster --name ${CLUSTER_NAME} --region ${AWS_REGION} \
      --query cluster.identity.oidc.issuer --output text

该命令返回的结果URL如下所示：

https://oidc.eks.${AWS_REGION}.amazonaws.com/id/D48675832CA65BD10A532F597OIDCID

此URL处的值D48675832CA65BD10A532F597OIDCID是 OIDC ID。您的集群的 OIDC ID 不同。您需要此 OIDC ID 值才能创建角色。

如果输出为 None，则表示您的客户端版本过旧。要解决此问题，请运行以下命令：

aws eks describe-cluster --region ${AWS_REGION} --query cluster --name ${CLUSTER_NAME} --output text | grep OIDC

按如下方式返回：OIDCURL

OIDC https://oidc.eks.us-east-1.amazonaws.com/id/D48675832CA65BD10A532F597OIDCID

创建 IAM 角色

将 AmazonSageMakerFullAccess 策略附加到角色

要向角色授予访问权限 SageMaker，请附加AmazonSageMakerFullAccess策略。如果您想限制 Operator 的权限，可以创建自己的自定义策略并附加该策略。

要附加 AmazonSageMakerFullAccess，请运行以下命令：

aws iam attach-role-policy --role-name <role name>  --policy-arn arn:aws:iam::aws:policy/AmazonSageMakerFullAccess

Kubernetes ServiceAccount sagemaker-k8s-operator-default 应该拥有权限。AmazonSageMakerFullAccess安装 Operator 时请确认这一点。

部署 Operator

部署操作员时，您可以使用YAML文件或 Helm 图表。

使用部署操作员 YAML

这是部署 Operator 的最简单方法。流程如下：

使用 Helm 图表部署 Operator

使用提供的 Helm 图表安装 Operator。

验证 Operator 部署

命名空间范围部署

您可以选择在单个 Kubernetes 命名空间的范围内安装 Operator。在此模式下，只有在该命名空间中创建资源时， SageMaker 控制器才会监控和协调资源。这样就能对哪个控制器管理哪个资源进行更精细的控制。这对于部署到多个 AWS 账户或控制哪些用户有权访问特定作业非常有用。

本指南概述了如何将 Operator 安装到特定的预定义命名空间中。要将控制器部署到第二个命名空间中，请从头到尾按照指南进行操作，并在每个步骤中更改命名空间。

为您的 Amazon EKS 集群创建OIDC提供商

以下说明说明如何创建OIDC提供商并将其与您的 Amazon EKS 集群关联。

现在，集群有了OIDC身份提供商，可以创建一个角色并授予 Kubernetes 代入该角色的 ServiceAccount 权限。

获取你的OIDC身份证

要进行设置 ServiceAccount，请先URL使用以下命令获取 OpenID Connect 颁发者：

aws eks describe-cluster --name ${CLUSTER_NAME} --region ${AWS_REGION} \
      --query cluster.identity.oidc.issuer --output text

该命令返回的结果URL如下所示：

https://oidc.eks.${AWS_REGION}.amazonaws.com/id/D48675832CA65BD10A532F597OIDCID

其中URL，值 D48675832 CA65BD1 0A532F597 OIDCID 是 OIDC ID。您的集群的 OIDC ID 不同。您需要此 OIDC ID 值才能创建角色。

如果输出为 None，则表示您的客户端版本过旧。要解决此问题，请运行以下命令：

aws eks describe-cluster --region ${AWS_REGION} --query cluster --name ${CLUSTER_NAME} --output text | grep OIDC

按如下方式返回：OIDCURL

OIDC https://oidc.eks.us-east-1.amazonaws.com/id/D48675832CA65BD10A532F597OIDCID

创建你的IAM角色

请记下 ROLE ARN。您将此值传递给您的 Operator。

将 AmazonSageMakerFullAccess 策略附加到您的角色

要向角色授予访问权限 SageMaker，请附加AmazonSageMakerFullAccess策略。如果您想限制 Operator 的权限，可以创建自己的自定义策略并附加该策略。

要附加 AmazonSageMakerFullAccess，请运行以下命令：

aws iam attach-role-policy --role-name <role name>  --policy-arn arn:aws:iam::aws:policy/AmazonSageMakerFullAccess

Kubernetes ServiceAccount sagemaker-k8s-operator-default 应该拥有权限。AmazonSageMakerFullAccess安装 Operator 时请确认这一点。

将 Operator 部署到您的命名空间

部署操作员时，您可以使用YAML文件或 Helm 图表。

使用将操作员部署到您的命名空间 YAML

在命名空间范围内部署 Operator 分为两个部分。第一个是在集群CRDs级别安装的一组。每个 Kubernetes 集群只需安装一次这些资源定义。第二部分是 Operator 权限和部署本身。

如果您尚未将安装CRDs到群集中，请YAML使用以下命令应用CRD安装程序：

kubectl apply -f https://raw.githubusercontent.com/aws/amazon-sagemaker-operator-for-k8s/master/release/rolebased/namespaced/crd.yaml

要将 Operator 安装到集群上，请执行以下操作：

使用 Helm 图表将 Operator 部署到您的命名空间

在命名空间范围内部署 Operator 需要两个部分。第一个是在集群CRDs级别安装的一组。每个 Kubernetes 集群只需安装一次这些资源定义。第二部分是 Operator 权限和部署本身。使用 Helm 图表时，必须先使用 kubectl 创建命名空间。

验证 Operator 部署到您的命名空间

安装 SageMaker 日志kubectl插件

作为 Kubernetes SageMaker 操作员的一部分，你可以将该smlogs插件用于。 kubectl这允许使用流式传输 SageMaker CloudWatch 日志kubectl。 kubectl必须安装到你的PATH。以下命令将二进制文件放入主目录的 sagemaker-k8s-bin 目录，然后将该目录添加到您的 PATH。

export os="linux"
  
wget https://amazon-sagemaker-operator-for-k8s-us-east-1.s3.amazonaws.com/kubectl-smlogs-plugin/v1/${os}.amd64.tar.gz
tar xvzf ${os}.amd64.tar.gz
  
# Move binaries to a directory in your homedir.
mkdir ~/sagemaker-k8s-bin
cp ./kubectl-smlogs.${os}.amd64/kubectl-smlogs ~/sagemaker-k8s-bin/.
  
# This line adds the binaries to your PATH in your .bashrc.
  
echo 'export PATH=$PATH:~/sagemaker-k8s-bin' >> ~/.bashrc
  
# Source your .bashrc to update environment variables:
source ~/.bashrc

使用以下命令验证是否已正确安装 kubectl 插件：

kubectl smlogs

如果 kubectl 插件安装正确，则输出应如下所示：

View SageMaker logs via Kubernetes
  
Usage:
  smlogs [command]
  
Aliases:
  smlogs, SMLogs, Smlogs
  
Available Commands:
  BatchTransformJob       View BatchTransformJob logs via Kubernetes
  TrainingJob             View TrainingJob logs via Kubernetes
  help                    Help about any command
  
Flags:
   -h, --help   help for smlogs
  
Use "smlogs [command] --help" for more information about a command.

清理资源

要从集群中卸载操作员，必须先确保从集群中删除所有 SageMaker资源。否则会导致 Operator 删除操作挂起。运行以下命令以停止所有作业：

# Delete all SageMaker jobs from Kubernetes
kubectl delete --all --all-namespaces hyperparametertuningjob.sagemaker.aws.amazon.com
kubectl delete --all --all-namespaces trainingjobs.sagemaker.aws.amazon.com
kubectl delete --all --all-namespaces batchtransformjob.sagemaker.aws.amazon.com
kubectl delete --all --all-namespaces hostingdeployment.sagemaker.aws.amazon.com

您应该可以看到类似于如下所示的输出内容：

$ kubectl delete --all --all-namespaces trainingjobs.sagemaker.aws.amazon.com
trainingjobs.sagemaker.aws.amazon.com "xgboost-mnist-from-for-s3" deleted
  
$ kubectl delete --all --all-namespaces hyperparametertuningjob.sagemaker.aws.amazon.com
hyperparametertuningjob.sagemaker.aws.amazon.com "xgboost-mnist-hpo" deleted
  
$ kubectl delete --all --all-namespaces batchtransformjob.sagemaker.aws.amazon.com
batchtransformjob.sagemaker.aws.amazon.com "xgboost-mnist" deleted
  
$ kubectl delete --all --all-namespaces hostingdeployment.sagemaker.aws.amazon.com
hostingdeployment.sagemaker.aws.amazon.com "host-xgboost" deleted

删除所有 SageMaker 任务后，请参阅删除 Operator从集群中删除操作员。

删除 Operator

删除基于集群的 Operator

使用安装的操作员 YAML

要从集群中卸载操作员，请确保已从集群中删除所有 SageMaker 资源。否则会导致 Operator 删除操作挂起。

删除所有 SageMaker 任务后，使用kubectl从集群中删除操作员：

# Delete the operator and its resources
kubectl delete -f /installer.yaml

您应该可以看到类似于如下所示的输出内容：

$ kubectl delete -f raw-yaml/installer.yaml
namespace "sagemaker-k8s-operator-system" deleted
customresourcedefinition.apiextensions.k8s.io "batchtransformjobs.sagemaker.aws.amazon.com" deleted
customresourcedefinition.apiextensions.k8s.io "endpointconfigs.sagemaker.aws.amazon.com" deleted
customresourcedefinition.apiextensions.k8s.io "hostingdeployments.sagemaker.aws.amazon.com" deleted
customresourcedefinition.apiextensions.k8s.io "hyperparametertuningjobs.sagemaker.aws.amazon.com" deleted
customresourcedefinition.apiextensions.k8s.io "models.sagemaker.aws.amazon.com" deleted
customresourcedefinition.apiextensions.k8s.io "trainingjobs.sagemaker.aws.amazon.com" deleted
role.rbac.authorization.k8s.io "sagemaker-k8s-operator-leader-election-role" deleted
clusterrole.rbac.authorization.k8s.io "sagemaker-k8s-operator-manager-role" deleted
clusterrole.rbac.authorization.k8s.io "sagemaker-k8s-operator-proxy-role" deleted
rolebinding.rbac.authorization.k8s.io "sagemaker-k8s-operator-leader-election-rolebinding" deleted
clusterrolebinding.rbac.authorization.k8s.io "sagemaker-k8s-operator-manager-rolebinding" deleted
clusterrolebinding.rbac.authorization.k8s.io "sagemaker-k8s-operator-proxy-rolebinding" deleted
service "sagemaker-k8s-operator-controller-manager-metrics-service" deleted
deployment.apps "sagemaker-k8s-operator-controller-manager" deleted
secrets "sagemaker-k8s-operator-abcde" deleted

使用 Helm 图表安装的 Operator

要删除操作员CRDs，请先删除所有正在运行的作业。然后使用以下命令删除用于部署 Operator 的 Helm 图表：

# get the helm charts
helm ls
  
# delete the charts
helm delete <chart_name>

删除基于命名空间的 Operator

操作员安装了 YAML

要从集群中卸载操作员，请先确保已从集群中删除所有 SageMaker 资源。否则会导致 Operator 删除操作挂起。

删除所有 SageMaker 作业后，使用kubectl先从命名空间中删除运算符，然后再CRDs从集群中删除。运行以下命令以从集群中删除 Operator：

# Delete the operator using the same yaml file that was used to install the operator
kubectl delete -f operator.yaml
  
# Now delete the CRDs using the CRD installer yaml
kubectl delete -f https://raw.githubusercontent.com/aws/amazon-sagemaker-operator-for-k8s/master/release/rolebased/namespaced/crd.yaml
  
# Now you can delete the namespace if you want
kubectl delete namespace <namespace>

使用 Helm 图表安装的 Operator

要删除操作员CRDs，请先删除所有正在运行的作业。然后使用以下命令删除用于部署 Operator 的 Helm 图表：

# Delete the operator
helm delete <chart_name>
  
# delete the crds
helm delete crds
  
# optionally delete the namespace
kubectl delete namespace <namespace>

故障排除

调试失败的作业

使用以下步骤调试失败的作业。

删除运算符 CRD

如果删除作业失败，请检查 Operator 是否正在运行。如果 Operator 未运行，则必须使用以下步骤删除终结器：

图片SMlogs和每个区域

下表列出了每个区域SMLogs中可用的操作员图像。