Paso 2: (solo CLI) crear un rol de IAM para Amazon Comprehend

Este paso solo es necesario si utiliza AWS Command Line Interface (AWS CLI) para completar este tutorial. Si utiliza la consola Amazon Comprehend para ejecutar los trabajos de análisis, vaya a Paso 3: ejecutar trabajos de análisis en documentos en Amazon S3.

Para ejecutar trabajos de análisis, Amazon Comprehend necesita acceso al bucket de Amazon S3 que contiene el conjunto de datos de muestra y contendrá los resultados de los trabajos. Los roles de IAM le permiten controlar los permisos de los AWS servicios o usuarios. En este paso, creará un rol de IAM para Amazon Comprehend. A continuación, debe crear y adjuntar a este rol una política basada en recursos que conceda a Amazon Comprehend acceso a su bucket de S3. Al final de este paso, Amazon Comprehend dispondrá de los permisos necesarios para acceder a los datos de entrada, almacenar los datos de salida y ejecutar trabajos de análisis de sentimientos y entidades.

Para obtener más información acerca del uso de IAM con Amazon Comprehend, consulte Cómo funciona Amazon Comprehend con IAM.

Requisitos previos

Antes de comenzar, haga lo siguiente:

• Complete la Paso 1: añadir documentos a Amazon S3.

• Debe contar con un editor de código o texto para guardar las políticas de JSON y llevar un registro de sus nombres de recursos de Amazon (ARN).

Creación de un rol de IAM

Para acceder a su bucket de Amazon Simple Storage Service (Amazon S3), Amazon Comprehend debe asumir AWS Identity and Access Management una función (IAM). El rol de IAM declara que Amazon Comprehend es una entidad de confianza. Una vez que Amazon Comprehend asuma la función y se convierta en una entidad de confianza, puede conceder permisos de acceso a los buckets a Amazon Comprehend. En este paso, creará un rol que etiquetará a Amazon Comprehend como entidad de confianza. Puede crear un rol con la consola Amazon Comprehend AWS CLI o con la consola. Para usar la consola, vaya a Paso 3: ejecutar trabajos de análisis en documentos en Amazon S3.

La consola de Amazon Comprehend le permite seleccionar roles en los que el nombre del rol contiene “Comprehend” y la política de confianza incluye comprehend.amazonaws.com. Configure los roles creados por la CLI para que cumplan estos criterios si desea que la consola los muestre.

Para crear un rol de IAM para Amazon Comprehend (AWS CLI)

1. Guarde la siguiente política de confianza como un documento JSON llamado comprehend-trust-policy.json en un editor de código o texto de su equipo. Esta política de confianza declara a Amazon Comprehend como una entidad de confianza y le permite asumir un rol de IAM.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "comprehend.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. Para crear el rol de IAM, ejecute el siguiente comando. AWS CLI El comando crea un rol de IAM denominado AmazonComprehendServiceRole-access-role y asocia la política de confianza a dicho rol. Sustituya path/ con la ruta de su ordenador local para el documento JSON.

   aws iam create-role --role-name AmazonComprehendServiceRole-access-role
   --assume-role-policy-document file://path/comprehend-trust-policy.json

   sugerencia

   Si recibe un mensaje de error al analizar los parámetros, es probable que la ruta a su archivo de política de confianza JSON sea incorrecta. Proporcione la ruta relativa al archivo basándose en su directorio principal.

3. Copie el nombre de recurso de Amazon (ARN) y guárdelo en un editor de texto. El ARN tiene un formato similar a arn:aws:iam::123456789012:role/AmazonComprehendServiceRole-access-role. Necesitará este ARN para ejecutar los trabajos de análisis de Amazon Comprehend.

Cómo adjuntar una política de IAM al rol de IAM

Para acceder a su bucket de Amazon S3, Amazon Comprehend necesita permisos para enumerar, leer y escribir. Para conceder a Amazon Comprehend los permisos necesarios, cree y asocie una política de IAM a su rol de IAM. La política de IAM permite a Amazon Comprehend recuperar los datos de entrada de su bucket y escribir los resultados de los análisis en el bucket. Después de crear la política, asóciela al rol de IAM.

Cómo crear una política de IAM (AWS CLI)

1. Guarde la siguiente política localmente como un documento JSON con el nombre comprehend-access-policy.json. De este modo, se otorga a Amazon Comprehend acceso al bucket de S3 especificado.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "s3:ListBucket"
               ],
               "Resource": [
                   "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
               ],
               "Effect": "Allow"
           }
       ]
   }

2. Para crear la política de acceso al bucket de S3, ejecute el siguiente AWS CLI comando. Sustituya path/ con la ruta de su ordenador local para el documento JSON.

   aws iam create-policy --policy-name comprehend-access-policy
   --policy-document file://path/comprehend-access-policy.json

3. Copie el ARN de la política de acceso y guárdelo en un editor de texto. El ARN tiene un formato similar a arn:aws:iam::123456789012:policy/comprehend-access-policy. Necesitará este ARN para asociar la política de acceso a su rol de IAM.

Cómo asociar la política de IAM a su rol de IAM (AWS CLI)

• Ejecute el siguiente comando de la . Sustituya policy-arn por el ARN de la política de acceso que ha anotado en el paso anterior.

  aws iam attach-role-policy --policy-arn policy-arn
  --role-name AmazonComprehendServiceRole-access-role

Ahora tiene un rol de IAM denominado AmazonComprehendServiceRole-access-role que cuenta con una política de confianza para Amazon Comprehend y una política de acceso que otorga a Amazon Comprehend acceso a su bucket de S3. También tiene el ARN del rol de IAM copiado en un editor de texto.