階段 1：將 UI 從工作室經典版遷移到工作室

1. 建立測試網域以在移轉現有網域之前驗證組態。

2. 移轉現有網域。

3. 清理測試網域。

1. 取得您現有網域的網域 ID。

   1. 在 https://console.aws.amazon.com/sagemaker/ 打開 Amazon SageMaker 控制台。

   2. 在左側導覽窗格中展開 [管理員設定]，然後選擇 [網域]。

   3. 選擇現有的網域。

   4. 在網域詳細資訊頁面上，選擇網域設定標籤。

   5. 複製網域識別碼。

2. 新增現有網域的網域 ID。

   export REF_DOMAIN_ID="domain-id"
   export SM_REGION="region"

3. 用於describe-domain取得有關現有網域的重要資訊。

   export REF_EXECROLE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.ExecutionRole')
   export REF_VPC=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.VpcId')
   export REF_SIDS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.SubnetIds | join(",")')
   export REF_SGS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.SecurityGroups | join(",")')
   export AUTHMODE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.AuthMode')

4. 驗證參數。

   echo "Execution Role: $REF_EXECROLE || VPCID: $REF_VPC || SubnetIDs: $REF_SIDS || Security GroupIDs: $REF_SGS || AuthMode: $AUTHMODE"

5. 使用現有網域中的組態建立測試網域。

   IFS=',' read -r -a subnet_ids <<< "$REF_SIDS"
   IFS=',' read -r -a security_groups <<< "$REF_SGS"
   security_groups_json=$(printf '%s\n' "${security_groups[@]}" | jq -R . | jq -s .)
   
   aws sagemaker create-domain \
   --domain-name "TestV2Config" \
   --vpc-id $REF_VPC \
   --auth-mode $AUTHMODE \
   --subnet-ids "${subnet_ids[@]}" \
   --app-network-access-type VpcOnly \
   --default-user-settings "
   {
       \"ExecutionRole\": \"$REF_EXECROLE\",
       \"StudioWebPortal\": \"ENABLED\",
       \"DefaultLandingUri\": \"studio::\",
       \"SecurityGroups\": $security_groups_json
   }
   "

6. 測試網域為之後In Service，請使用測試網域的 ID 來建立使用者設定檔。此使用者設定檔是用來啟動和測試應用程式。

   aws sagemaker create-user-profile \
   --region="$SM_REGION" --domain-id=test-domain-id \
   --user-profile-name test-network-user

1. 依照建立 IAM AWS Identity and Access Management 政策中的步驟，建立包含下列其中一項內容的政策：

   • 使用下列原則來授與所有應用程式類型和空間的權限。

     注意

     如果測試網域使用SageMakerFullAccess原則，則不需要執行此動作。 SageMakerFullAccess授予建立所有應用程式的權限。

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "SMStudioUserProfileAppPermissionsCreateAndDelete",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateApp",
                     "sagemaker:DeleteApp"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:app/*",
                 "Condition": {
                     "Null": {
                         "sagemaker:OwnerUserProfileArn": "true"
                     }
                 }
             },
             {
                 "Sid": "SMStudioCreatePresignedDomainUrlForUserProfile",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreatePresignedDomainUrl"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:user-profile/${sagemaker:DomainId}/${sagemaker:UserProfileName}"
             },
             {
                 "Sid": "SMStudioAppPermissionsListAndDescribe",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:ListApps",
                     "sagemaker:ListDomains",
                     "sagemaker:ListUserProfiles",
                     "sagemaker:ListSpaces",
                     "sagemaker:DescribeApp",
                     "sagemaker:DescribeDomain",
                     "sagemaker:DescribeUserProfile",
                     "sagemaker:DescribeSpace"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "SMStudioAppPermissionsTagOnCreate",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:AddTags"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:*/*",
                 "Condition": {
                     "Null": {
                         "sagemaker:TaggingAction": "false"
                     }
                 }
             },
             {
                 "Sid": "SMStudioRestrictSharedSpacesWithoutOwners",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateSpace",
                     "sagemaker:UpdateSpace",
                     "sagemaker:DeleteSpace"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:space/${sagemaker:DomainId}/*",
                 "Condition": {
                     "Null": {
                         "sagemaker:OwnerUserProfileArn": "true"
                     }
                 }
             },
             {
                 "Sid": "SMStudioRestrictSpacesToOwnerUserProfile",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateSpace",
                     "sagemaker:UpdateSpace",
                     "sagemaker:DeleteSpace"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:space/${sagemaker:DomainId}/*",
                 "Condition": {
                     "ArnLike": {
                         "sagemaker:OwnerUserProfileArn": "arn:aws:sagemaker:us-east-1:account-id:user-profile/${sagemaker:DomainId}/${sagemaker:UserProfileName}"
                     },
                     "StringEquals": {
                         "sagemaker:SpaceSharingType": [
                             "Private",
                             "Shared"
                         ]
                     }
                 }
             },
             {
                 "Sid": "SMStudioRestrictCreatePrivateSpaceAppsToOwnerUserProfile",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateApp",
                     "sagemaker:DeleteApp"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:app/${sagemaker:DomainId}/*",
                 "Condition": {
                     "ArnLike": {
                         "sagemaker:OwnerUserProfileArn": "arn:aws:sagemaker:us-east-1:account-id:user-profile/${sagemaker:DomainId}/${sagemaker:UserProfileName}"
                     },
                     "StringEquals": {
                         "sagemaker:SpaceSharingType": [
                             "Private"
                         ]
                     }
                 }
             },
             {
                 "Sid": "AllowAppActionsForSharedSpaces",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateApp",
                     "sagemaker:DeleteApp"
                 ],
                 "Resource": "arn:aws:sagemaker:*:*:app/${sagemaker:DomainId}/*/*/*",
                 "Condition": {
                     "StringEquals": {
                         "sagemaker:SpaceSharingType": [
                             "Shared"
                         ]
                     }
                 }
             }
         ]
     }

   • 因為 Studio 會顯示一組擴充的應用程式，因此使用者可能可以存取以前未顯示的應用程式。管理員可以透過建立 AWS Identity and Access Management (IAM) 政策來限制對這些預設應用程式的存取權限，以授予特定使用者拒絕某些應用程式的許可。

     注意

     應用程式類型可以是jupyterlab或codeeditor。

     {  
       "Version": "2012-10-17",
       "Statement": [
         {
           "Sid": "DenySageMakerCreateAppForSpecificAppTypes",
           "Effect": "Deny",
           "Action": "sagemaker:CreateApp",
           "Resource": "arn:aws:sagemaker:region:account-id:app/domain-id/*/app-type/*"
         }
       ]
     }

2. 將原則附加至測試網域的執行角色。如需指示，請遵循新增 IAM 身分許可 (主控台) 中的步驟。

將 CORS 組態新增至 Amazon S3 儲存貯體

1. 確認 Amazon S3 儲存貯體與現有網域 AWS 區域 相同，名稱如下。如需指示，請參閱檢視 Amazon S3 儲存貯體的屬性。

   sagemaker-region-account-id

2. 將包含下列內容的 CORS 組態新增至預設的 Amazon S3 儲存貯體。如需指示，請參閱設定跨來源資源共用 (CORS)。

   [
       {
           "AllowedHeaders": [
               "*"
           ],
           "AllowedMethods": [
               "POST",
               "PUT",
               "GET",
               "HEAD",
               "DELETE"
           ],
           "AllowedOrigins": [
               "https://*.sagemaker.aws"
           ],
           "ExposeHeaders": [
               "ETag",
               "x-amz-delete-marker",
               "x-amz-id-2",
               "x-amz-request-id",
               "x-amz-server-side-encryption",
               "x-amz-version-id"
           ]
       }
   ]

在 Canvas 內授與資料牧馬人功能的權限

1. 將受 AWS 管政策附加AmazonSageMakerFullAccess到使用者的 IAM 角色。如需說明如何將 IAM 政策附加至角色的程序，請參閱 IAM 使用者指南中的新增AWS IAM 身分許可 (主控台) 。

   如果此權限原則對於您的使用案例而言太寬鬆，您可以建立至少包含下列權限的範圍原則：

   {
       "Sid": "AllowStudioActions",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreatePresignedDomainUrl",
           "sagemaker:DescribeDomain",
           "sagemaker:ListDomains",
           "sagemaker:DescribeUserProfile",
           "sagemaker:ListUserProfiles",
           "sagemaker:DescribeSpace",
           "sagemaker:ListSpaces",
           "sagemaker:DescribeApp",
           "sagemaker:ListApps"
       ],
       "Resource": "*"
   },
   {
       "Sid": "AllowAppActionsForUserProfile",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreateApp",
           "sagemaker:DeleteApp"
       ],
       "Resource": "arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/canvas/*",
       "Condition": {
           "Null": {
               "sagemaker:OwnerUserProfileArn": "true"
           }
       }
   }

2. 將受 AWS 管政策附加AmazonSageMakerCanvasDataPrepFullAccess到使用者的 IAM 角色。

將 IAM 政策附加到執行角色

1. 查找附加到您的 SageMaker 用戶配置文件的執行角色

   1. 在 SageMaker 主控台中https://console.aws.amazon.com/sagemaker/，瀏覽至「網域」，然後選擇您的網 SageMaker域。

   2. 執行角色 ARN 會列在使用者設定檔的 [使用者詳細資料] 頁面上的 [執行角色] 底下。記下 ARN 中的執行角色名稱。

   3. 在 IAM 主控台 https://console.aws.amazon.com/iam/ 中，選擇「角色」。

   4. 在搜尋欄位中依名稱搜尋您的角色。

   5. 設定角色。

2. 將原則新增至角色

   1. 在 IAM 主控台 https://console.aws.amazon.com/iam/ 中，選擇「角色」。

   2. 在搜尋欄位中依名稱搜尋您的角色。

   3. 設定角色。

   4. 在 [權限] 索引標籤中，瀏覽至下拉式功能表 [新增權限]。

   5. • 對於受管理的策略：選取 [附加原則]，搜尋您要附加的管理策略名稱。

        選取原則，然後選擇 [新增權限]。

      • 對於內嵌政策：選取 [建立內嵌原則]，將您的政策貼到 JSON 索引標籤中，選擇 [下一步]，命名您的原則，然後選擇 [建立]。

1. 新增測試網域的 ID。

   export TEST_DOMAIN="test-domain-id"
   export SM_REGION="region"

2. 列出網域中處於執行中狀態的所有應用程式。

   active_apps_json=$(aws sagemaker list-apps --region=$SM_REGION --domain-id=$TEST_DOMAIN)
   echo $active_apps_json

3. 剖析執行中應用程式的 JSON 清單並將其刪除。如果使用者嘗試建立他們沒有權限的應用程式，則下列指令碼中可能沒有擷取空格。您必須手動刪除這些空格。

   echo "$active_apps_json" | jq -c '.Apps[]' | while read -r app;
   do
       if echo "$app" | jq -e '. | has("SpaceName")' > /dev/null;
       then
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           space_name=$(echo "$app" | jq -r '.SpaceName')
   
           echo "Deleting App - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --space-name $space_name
   
           echo "Deleting Space - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-space --region=$SM_REGION --domain-id=$domain_id \
           --space-name $space_name
       else
   
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           user_profile_name=$(echo "$app" | jq -r '.UserProfileName')
   
           echo "Deleting Studio Classic - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || UserProfileName: $user_profile_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --user-profile-name $user_profile_name
   
       fi
   
   done

4. 刪除測試使用者設定檔。

   aws sagemaker delete-user-profile \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN \
   --user-profile-name "test-network-user"

5. 刪除測試網域。

   aws sagemaker delete-domain \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN