將 UI 從 Studio Classic 遷移至 Studio

1. 取得現有網域的網域 ID。

   1. 在 https://console.aws.amazon.com/sagemaker/：// 開啟 Amazon SageMaker AI 主控台。

   2. 從左側導覽窗格中，展開管理員組態，然後選擇網域。

   3. 選擇現有的網域。

   4. 在網域詳細資訊頁面上，選擇網域設定標籤。

   5. 複製網域 ID。

2. 新增現有網域的網域 ID。

   export REF_DOMAIN_ID="domain-id"
   export SM_REGION="region"

3. 使用 describe-domain取得現有網域的重要資訊。

   export REF_EXECROLE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.ExecutionRole')
   export REF_VPC=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.VpcId')
   export REF_SIDS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.SubnetIds | join(",")')
   export REF_SGS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.SecurityGroups | join(",")')
   export AUTHMODE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.AuthMode')

4. 驗證參數。

   echo "Execution Role: $REF_EXECROLE || VPCID: $REF_VPC || SubnetIDs: $REF_SIDS || Security GroupIDs: $REF_SGS || AuthMode: $AUTHMODE"

5. 使用現有網域中的組態建立測試網域。

   IFS=',' read -r -a subnet_ids <<< "$REF_SIDS"
   IFS=',' read -r -a security_groups <<< "$REF_SGS"
   security_groups_json=$(printf '%s\n' "${security_groups[@]}" | jq -R . | jq -s .)
   
   aws sagemaker create-domain \
   --domain-name "TestV2Config" \
   --vpc-id $REF_VPC \
   --auth-mode $AUTHMODE \
   --subnet-ids "${subnet_ids[@]}" \
   --app-network-access-type VpcOnly \
   --default-user-settings "
   {
       \"ExecutionRole\": \"$REF_EXECROLE\",
       \"StudioWebPortal\": \"ENABLED\",
       \"DefaultLandingUri\": \"studio::\",
       \"SecurityGroups\": $security_groups_json
   }
   "

6. 測試網域為 之後In Service，請使用測試網域的 ID 來建立使用者設定檔。此使用者設定檔用於啟動和測試應用程式。

   aws sagemaker create-user-profile \
   --region="$SM_REGION" --domain-id=test-domain-id \
   --user-profile-name test-network-user

1. 新增測試網域的 ID。

   export TEST_DOMAIN="test-domain-id"
   export SM_REGION="region"

2. 列出網域中處於執行中狀態的所有應用程式。

   active_apps_json=$(aws sagemaker list-apps --region=$SM_REGION --domain-id=$TEST_DOMAIN)
   echo $active_apps_json

3. 剖析執行中的應用程式的 JSON 清單，並將其刪除。如果使用者嘗試建立他們沒有許可的應用程式，則以下指令碼中可能沒有擷取到空格。您必須手動刪除這些空格。

   echo "$active_apps_json" | jq -c '.Apps[]' | while read -r app;
   do
       if echo "$app" | jq -e '. | has("SpaceName")' > /dev/null;
       then
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           space_name=$(echo "$app" | jq -r '.SpaceName')
   
           echo "Deleting App - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --space-name $space_name
   
           echo "Deleting Space - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-space --region=$SM_REGION --domain-id=$domain_id \
           --space-name $space_name
       else
   
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           user_profile_name=$(echo "$app" | jq -r '.UserProfileName')
   
           echo "Deleting Studio Classic - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || UserProfileName: $user_profile_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --user-profile-name $user_profile_name
   
       fi
   
   done

4. 刪除測試使用者設定檔。

   aws sagemaker delete-user-profile \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN \
   --user-profile-name "test-network-user"

5. 刪除測試網域。

   aws sagemaker delete-domain \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN

1. 在 https://console.aws.amazon.com/sagemaker/：// 開啟 Amazon SageMaker AI 主控台。

2. 從左側導覽窗格中展開管理員組態，然後選擇網域。

3. 選擇您要啟用 Studio 作為預設體驗的現有網域。

4. 在網域詳細資訊頁面上展開啟用新的 Studio。

5. （選用） 若要檢視啟用 Studio 做為預設體驗所涉及步驟的詳細資訊，請選擇檢視詳細資訊。頁面顯示以下內容。

   • 在 SageMaker Studio 概觀區段中，您可以檢視 Studio Web 型界面中包含或可用的應用程式。

   • 在啟用程序區段中，您可以檢視要啟用 Studio 之工作流程任務的說明。

     注意

     您需要手動遷移資料。如需遷移資料的指示，請參閱 （選用） 將資料從 Studio Classic 遷移至 Studio。

   • 在還原至 Studio Classic 體驗區段中，您可以檢視如何在啟用 Studio 做為預設體驗之後還原至 Studio Classic。

6. 若要開始將 Studio 啟用為預設體驗的程序，請選擇啟用新的 Studio。

7. 在指定和設定角色區段中，您可以檢視自動包含在 Studio 中的預設應用程式。

   若要防止使用者執行這些應用程式，請選擇 AWS Identity and Access Management 具有拒絕存取之 IAM 政策的 (IAM) 角色。如需如何建立政策以限制存取的詳細資訊，請參閱 步驟 1：更新應用程式建立許可。

8. 在選擇預設 S3 儲存貯體以連接 CORS 政策區段中，您可以授予 Studio 對 Amazon S3 儲存貯體的存取權。在這種情況下，預設 Amazon S3 儲存貯體是 Studio Classic 的預設 Amazon S3 儲存貯體。在此步驟中，您可以執行下列動作：

   • 驗證要連接 CORS 政策的網域預設 Amazon S3 儲存貯體。如果您的網域沒有預設的 Amazon S3 儲存貯體，SageMaker AI 會建立已連接正確 CORS 政策的 Amazon S3 儲存貯體。

   • 您可以包含 10 個額外的 Amazon S3 儲存貯體，以連接 CORS 政策。

     如果您想要包含超過 10 個儲存貯體，您可以手動新增它們。如需手動將 CORS 政策連接至 Amazon S3 儲存貯體的詳細資訊，請參閱 （選用） 更新您的 CORS 政策以存取 Amazon S3 儲存貯體。

   若要繼續，請選取所選 Amazon S3 儲存貯體上的核取方塊，您是否同意覆寫任何現有的 CORS 政策？

9. 遷移資料區段包含 Studio Classic 和 Studio 不同資料儲存磁碟區的相關資訊。您的資料不會透過此程序自動遷移。如需遷移資料、生命週期組態和 JupyterLab 延伸模組的指示，請參閱 （選用） 將資料從 Studio Classic 遷移至 Studio。

10. 完成頁面上的任務並驗證組態後，請選擇啟用新的 Studio。

將 CORS 組態新增至 Amazon S3 儲存貯體

1. 確認 Amazon S3 儲存貯體與具有下列名稱 AWS 區域 的現有網域位於相同的 中。如需說明，請參閱檢視 Amazon S3 儲存貯體的屬性。

   sagemaker-region-account-id

2. 將具有下列內容的 CORS 組態新增至預設 Amazon S3 儲存貯體。如需說明，請參閱設定跨來源資源共享 (CORS)。

   [
       {
           "AllowedHeaders": [
               "*"
           ],
           "AllowedMethods": [
               "POST",
               "PUT",
               "GET",
               "HEAD",
               "DELETE"
           ],
           "AllowedOrigins": [
               "https://*.sagemaker.aws"
           ],
           "ExposeHeaders": [
               "ETag",
               "x-amz-delete-marker",
               "x-amz-id-2",
               "x-amz-request-id",
               "x-amz-server-side-encryption",
               "x-amz-version-id"
           ]
       }
   ]

授予 Canvas 內 Data Wrangler 功能的許可

1. 將 AWS 受管政策 AmazonSageMakerFullAccess 連接至使用者的 IAM 角色。如需說明如何將 IAM 政策連接至角色的程序，請參閱《IAM 使用者指南》中的新增 IAM 身分許可 （主控台）AWS 。

   如果此許可政策對您的使用案例而言過於寬鬆，您可以建立範圍縮減政策，至少包含下列許可：

   {
       "Sid": "AllowStudioActions",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreatePresignedDomainUrl",
           "sagemaker:DescribeDomain",
           "sagemaker:ListDomains",
           "sagemaker:DescribeUserProfile",
           "sagemaker:ListUserProfiles",
           "sagemaker:DescribeSpace",
           "sagemaker:ListSpaces",
           "sagemaker:DescribeApp",
           "sagemaker:ListApps"
       ],
       "Resource": "*"
   },
   {
       "Sid": "AllowAppActionsForUserProfile",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreateApp",
           "sagemaker:DeleteApp"
       ],
       "Resource": "arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/canvas/*",
       "Condition": {
           "Null": {
               "sagemaker:OwnerUserProfileArn": "true"
           }
       }
   }

2. 將 AWS 受管政策 AmazonSageMakerCanvasDataPrepFullAccess 連接至使用者的 IAM 角色。

將 IAM 政策連接至執行角色

1. 尋找連接至 SageMaker AI 使用者設定檔的執行角色

   1. 在 SageMaker AI 主控台 中https://console.aws.amazon.com/sagemaker/，導覽至網域，然後選擇您的 SageMaker AI 網域。

   2. 執行角色 ARN 會列在使用者設定檔的使用者詳細資訊頁面上的執行角色下。記下 ARN 中的執行角色名稱。

   3. 在 IAM 主控台 https://console.aws.amazon.com/iam/ 中，選擇角色。

   4. 在搜尋欄位中依名稱搜尋您的角色。

   5. 設定角色。

2. 將政策新增至角色

   1. 在 IAM 主控台 https://console.aws.amazon.com/iam/ 中，選擇角色。

   2. 在搜尋欄位中依名稱搜尋您的角色。

   3. 設定角色。

   4. 在許可索引標籤中，導覽至下拉式功能表新增許可。

   5. • 針對受管政策：選取連接政策，搜尋您要連接之管理政策的名稱。

        選取政策，然後選擇新增許可。

      • 對於內嵌政策：選取建立內嵌政策，在 JSON 索引標籤中貼上您的政策，選擇下一步，為您的政策命名，然後選擇建立。