支援終止通知：2026 年 10 月 7 日 AWS 將停止 的支援 AWS IoT Greengrass Version 1。2026 年 10 月 7 日之後，您將無法再存取 AWS IoT Greengrass V1 資源。如需詳細資訊，請造訪[從 遷移 AWS IoT Greengrass Version 1](https://docs.aws.amazon.com/greengrass/v2/developerguide/migrate-from-v1.html)。 本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 從 Lambda 函數存取機器學習資源 使用者定義的 Lambda 函數可以存取機器學習資源，以在 AWS IoT Greengrass 核心上執行本機推論。機器學習資源包含培訓過的模型，以及下載至核心裝置的其他成品。 若要允許 Lambda 函數存取核心上的機器學習資源，您必須將資源連接至 Lambda 函數並定義存取許可。附屬 （或*連接的*) Lambda 函數的[容器化模式](lambda-group-config.md#lambda-function-containerization)會決定您的執行方式。 ## 機器學習資源的存取權限 從 AWS IoT Greengrass Core v1.10.0 開始，您可以定義機器學習資源的資源擁有者。資源擁有者代表 AWS IoT Greengrass 用來下載資源成品的作業系統群組和許可。如果未定義資源擁有者，則僅限根存取的下載資源成品。 + 如果非容器化 Lambda 函數存取機器學習資源，您必須定義資源擁有者，因為容器沒有許可控制。非容器化 Lambda 函數可以繼承資源擁有者許可，並使用它們來存取資源。   + 如果只有容器化 Lambda 函數存取資源，建議您使用函數層級許可，而不是定義資源擁有者。   ### 資源擁有者屬性 資源擁有者指定群組擁有者和群組擁有者權限。 **群組擁有者**。核心裝置上現有 Linux 作業系統群組的 ID (GID)。群組許可會新增至 Lambda 程序。具體而言，GID 會新增至 Lambda 函數的補充群組 IDs。 如果 Greengrass 群組中的 Lambda 函數設定為[執行為](lambda-group-config.md#lambda-access-identity)與機器學習資源的資源擁有者相同的作業系統群組，則該資源必須連接到 Lambda 函數。否則，部署會失敗，因為此組態會提供 Lambda 函數可在 AWS IoT Greengrass 未經授權的情況下用來存取資源的隱含許可。如果 Lambda 函數以根 (UID=0) 執行，則會略過部署驗證檢查。 我們建議您使用其他資源、Lambda 函數或 Greengrass 核心上的檔案未使用的作業系統群組。使用共用作業系統群組可讓連接的 Lambda 函數獲得比所需更多的存取許可。如果您使用共用作業系統群組，則連接的 Lambda 函數也必須連接至使用共用作業系統群組的所有機器學習資源。否則，部署會失敗。 **群組擁有者權限**。新增至 Lambda 程序的唯讀或讀取和寫入許可。 非容器化 Lambda 函數必須繼承資源的這些存取許可。容器化 Lambda 函數可以繼承這些資源層級許可或定義函數層級許可。如果他們定義了函數層級權限，則權限必須與資源層級權限相同或更加嚴格。 下表顯示支援的存取權限組態。 ------ #### [ GGC v1.10 or later ] | 屬性 | 如果只有容器化 Lambda 函數存取資源 | 如果任何非容器化 Lambda 函數存取資源 | | --- |--- |--- | | **函數層級屬性** | | --- | | 權限 (讀取/寫入) | 除非資源定義資源擁有者，否則為必要項目。如果已定義資源擁有者，則函數層級權限必須與資源擁有者權限相同或更加嚴格。 如果只有容器化 Lambda 函數存取資源，建議您不要定義資源擁有者。 | **非容器化 Lambda 函數：** 不支援。非容器化 Lambda 函數必須繼承資源層級許可。 **容器化 Lambda 函數：** 可選，但必須與資源層級權限相同或更加嚴格。 | | **資源層級屬性** | | --- | | 資源擁有者 | 可選 (不建議使用)。 | 必要. | | 權限 (讀取/寫入) | 可選 (不建議使用)。 | 必要. | ------ #### [ GGC v1.9 or earlier ] | 屬性 | 如果只有容器化 Lambda 函數存取資源 | 如果任何非容器化 Lambda 函數存取資源 | | --- |--- |--- | | **函數層級屬性** | | --- | | 權限 (讀取/寫入) | 必要. | 不支援。 | | **資源層級屬性** | | --- | | 資源擁有者 | 不支援。 | 不支援。 | | 權限 (讀取/寫入) | 不支援。 | 不支援。 | ------ **注意** 當您使用 AWS IoT Greengrass API 設定 Lambda 函數和資源時，也需要函數層級`ResourceId`屬性。`ResourceId` 屬性會將機器學習資源連接至 Lambda 函數。 ## 定義 Lambda 函數的存取許可 （主控台） 在 AWS IoT 主控台中，您可以在設定機器學習資源或將機器學習資源附加至 Lambda 函數時定義存取許可。 **容器化 Lambda 函數** 如果只有容器化 Lambda 函數連接到機器學習資源： + 選擇**無系統群組**做為機器學習資源的資源擁有者。當只有容器化 Lambda 函數存取機器學習資源時，建議使用此設定。否則，您可以為連接的 Lambda 函數提供更多的存取許可。     **非容器化 Lambda 函數** （需要 GGC 1.10 版或更新版本） 如果任何非容器化 Lambda 函數連接至機器學習資源： + 指定**系統群組 ID (GID)** 做為機器學習資源的資源擁有者。選擇**指定系統群組和許可**，然後輸入 GID。您可以在核心裝置上使用 `getent group`命令來查詢系統群組的 ID。   + 選擇**系統群組許可**的**唯讀存取權**或**讀取和寫入存取權**。 ## 定義 Lambda 函數 (API) 的存取許可 在 AWS IoT Greengrass API 中，您可以在 Lambda 函數的 `ResourceAccessPolicy` 屬性或資源的 `OwnerSetting` 屬性中定義機器學習資源的許可。 **容器化 Lambda 函數** 如果只有容器化 Lambda 函數連接到機器學習資源： + 對於容器化 Lambda 函數，請在 `ResourceAccessPolicies` 屬性的 `Permission` 屬性中定義存取許可。例如： ``` "Functions": [ { "Id": "my-containerized-function", "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", "FunctionConfiguration": { "Environment": { "ResourceAccessPolicies": [ { "ResourceId": "my-resource-id", "Permission": "ro-or-rw" } ] }, "MemorySize": 512, "Pinned": true, "Timeout": 5 } } ] ``` + 對於機器學習資源，請省略 `OwnerSetting` 屬性。例如： ``` "Resources": [ { "Id": "my-resource-id", "Name": "my-resource-name", "ResourceDataContainer": { "S3MachineLearningModelResourceData": { "DestinationPath": "/local-destination-path", "S3Uri": "s3://uri-to-resource-package" } } } ] ``` 當只有容器化 Lambda 函數存取機器學習資源時，建議使用此組態。否則，您可以為連接的 Lambda 函數提供更多的存取許可。   **非容器化 Lambda 函數** （需要 GGC 1.10 版或更新版本） 如果任何非容器化 Lambda 函數連接至機器學習資源： + 對於非容器化 Lambda 函數，請省略 中的 `Permission` 屬性`ResourceAccessPolicies`。此設定是必要的，並允許函數繼承資源層級權限。例如： ``` "Functions": [ { "Id": "my-non-containerized-function", "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", "FunctionConfiguration": { "Environment": { "Execution": { "IsolationMode": "NoContainer", }, "ResourceAccessPolicies": [ { "ResourceId": "my-resource-id" } ] }, "Pinned": true, "Timeout": 5 } } ] ``` + 對於也存取機器學習資源的容器化 Lambda 函數，請省略 中的 `Permission` 屬性，`ResourceAccessPolicies`或定義與資源層級許可相同或更嚴格的許可。例如： ``` "Functions": [ { "Id": "my-containerized-function", "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", "FunctionConfiguration": { "Environment": { "ResourceAccessPolicies": [ { "ResourceId": "my-resource-id", "Permission": "ro-or-rw" // Optional, but cannot exceed the GroupPermission defined for the resource. } ] }, "MemorySize": 512, "Pinned": true, "Timeout": 5 } } ] ``` + 對於機器學習資源，定義 `OwnerSetting` 屬性，包括子項 `GroupOwner` 和 `GroupPermission` 屬性。例如： ``` "Resources": [ { "Id": "my-resource-id", "Name": "my-resource-name", "ResourceDataContainer": { "S3MachineLearningModelResourceData": { "DestinationPath": "/local-destination-path", "S3Uri": "s3://uri-to-resource-package", "OwnerSetting": { "GroupOwner": "os-group-id", "GroupPermission": "ro-or-rw" } } } } ] ``` ## 從 Lambda 函數程式碼存取機器學習資源 使用者定義的 Lambda 函數使用平台特定的作業系統介面來存取核心裝置上的機器學習資源。 ------ #### [ GGC v1.10 or later ] 對於容器化 Lambda 函數，資源會掛載在 Greengrass 容器內，並可在為資源定義的本機目的地路徑中使用。對於非容器化 Lambda 函數，資源會符號連結到 Lambda 特定的工作目錄，並在 Lambda 程序中傳遞至`AWS_GG_RESOURCE_PREFIX`環境變數。 為了取得機器學習資源下載成品的路徑，Lambda 函數會將`AWS_GG_RESOURCE_PREFIX`環境變數附加至為資源定義的本機目的地路徑。對於容器化 Lambda 函數，傳回的值是單一正斜線 (`/`)。 ``` resourcePath = os.getenv("AWS_GG_RESOURCE_PREFIX") + "/destination-path" with open(resourcePath, 'r') as f: # load_model(f) ``` ------ #### [ GGC v1.9 or earlier ] 機器學習資源的下載成品位於為資源定義的本機目的地路徑中。只有容器化 Lambda 函數可以存取 Core v1.9 和更早版本的 AWS IoT Greengrass 機器學習資源。 ``` resourcePath = "/local-destination-path" with open(resourcePath, 'r') as f: # load_model(f) ``` ------ 模型載入實作取決於您的 ML 程式庫。 ## 疑難排解 使用下列資訊，協助疑難排解存取機器學習資源的問題。 **Topics** + [InvalidMLModelOwner - GroupOwnerSetting 在 ML 模型資源中提供，但是 GroupOwner 或 GroupPermission 不存在](#nocontainer-lambda-invalid-ml-model-owner) + [附加 Machine Learning 資源時，NoContainer 函數無法設定權限。 係指在資源存取政策中，具有權限 的 Machine Learning 資源 。](#nocontainer-lambda-invalid-resource-access-policy) + [函數 係指在資源 ResourceAccessPolicy 和資源 OwnerSetting 中具有遺失權限的 Machine Learning 資源。](#nocontainer-lambda-missing-access-permission) + [函數 係指具有 \$1"rw\$1" 權限的 Machine Learning 資源 ，而資源擁有者設定 GroupPermission 只允許 \$1"ro\$1"。](#container-lambda-invalid-rw-permissions) + [NoContainer 函數 係指巢狀目的地路徑的資源。](#nocontainer-lambda-nested-destination-path) + [Lambda 透過共用相同群組擁有者 ID 來獲得資源 的存取權](#lambda-runas-and-resource-owner) ### InvalidMLModelOwner - GroupOwnerSetting 在 ML 模型資源中提供，但是 GroupOwner 或 GroupPermission 不存在 **解決方案：**如果機器學習資源包含 [ResourceDownloadOwnerSetting](https://docs.aws.amazon.com/greengrass/v1/apireference/definitions-resourcedownloadownersetting.html) 物件，但未定義必要的 `GroupOwner` 或 `GroupPermission` 屬性，便會收到此錯誤訊息。若要解決此問題，請定義遺失的屬性。   ### 附加 Machine Learning 資源時，NoContainer 函數無法設定權限。 係指在資源存取政策中，具有權限 的 Machine Learning 資源 。 **解決方案：**如果非容器化 Lambda 函數指定機器學習資源的函數層級許可，您會收到此錯誤。非容器化函數必須從機器學習資源上定義的資源擁有者權限繼承權限。若要解決此問題，請選擇[繼承資源擁有者許可](#non-container-config-console) （主控台）[，或從 Lambda 函數的資源存取政策 (API) 移除許可](#non-container-config-api)。   ### 函數 係指在資源 ResourceAccessPolicy 和資源 OwnerSetting 中具有遺失權限的 Machine Learning 資源。 **解決方案：**如果未針對連接的 Lambda 函數或資源設定機器學習資源的許可，您會收到此錯誤。若要解決此問題，請在 Lambda 函數的 [ResourceAccessPolicy](https://docs.aws.amazon.com/greengrass/v1/apireference/definitions-resourceaccesspolicy.html) 屬性或資源的 [OwnerSetting](https://docs.aws.amazon.com/greengrass/v1/apireference/definitions-ownersetting.html) 屬性中設定許可。   ### 函數 係指具有 \$1"rw\$1" 權限的 Machine Learning 資源 ，而資源擁有者設定 GroupPermission 只允許 \$1"ro\$1"。 **解決方案：**如果為連接的 Lambda 函數定義的存取許可超過為機器學習資源定義的資源擁有者許可，您會收到此錯誤。若要解決此問題，請為 Lambda 函數設定更嚴格的許可，或為資源擁有者設定較不嚴格的許可。   ### NoContainer 函數 係指巢狀目的地路徑的資源。 **解決方案：**如果連接到非容器化 Lambda 函數的多個機器學習資源使用相同的目的地路徑或巢狀目的地路徑，則會收到此錯誤。若要解決此問題，請為資源指定個別目的地路徑。   ### Lambda 透過共用相同群組擁有者 ID 來獲得資源 的存取權 **解決方案：**`runtime.log`如果將相同的作業系統群組指定為 Lambda 函數的 [Run as](lambda-group-config.md#lambda-access-identity) identity 和機器學習[資源的資源擁有者](#ml-resource-owner)，但資源未連接至 Lambda 函數，您會在 中收到此錯誤。此組態提供 Lambda 函數隱含許可，其可在未經授權的情況下用來存取資源 AWS IoT Greengrass 。 若要解決此問題，請針對其中一個屬性使用不同的作業系統群組，或將機器學習資源連接至 Lambda 函數。 ## 另請參閱 + [執行機器學習推論](ml-inference.md) + [如何使用 設定機器學習推論 AWS 管理主控台](ml-console.md) + [如何使用 設定最佳化機器學習推論 AWS 管理主控台](ml-dlc-console.md) + [AWS IoT Greengrass Version 1 API 參考](https://docs.aws.amazon.com/greengrass/v1/apireference/api-doc.html)