AWS Políticas gestionadas para SageMaker ordenadores portátiles

Estas políticas AWS administradas añaden los permisos necesarios para usar los SageMaker cuadernos. Las políticas están disponibles en su AWS cuenta y las utilizan los roles de ejecución creados desde la consola de SageMaker IA.

AWS política gestionada: AmazonSageMakerNotebooksServiceRolePolicy

Esta política AWS gestionada concede los permisos que normalmente se necesitan para usar Amazon SageMaker Notebooks. La política se añade a la AWSServiceRoleForAmazonSageMakerNotebooks que se crea cuando te incorporas a Amazon SageMaker Studio Classic. Para obtener más información sobre los roles vinculados a servicios, consulte Roles vinculados a servicios. Para obtener más información, consulte AmazonSageMakerNotebooksServiceRolePolicy

Detalles de los permisos

Esta política incluye los siguientes permisos.

• elasticfilesystem: permite a las entidades principales crear y eliminar sistemas de archivos, puntos de acceso y destinos de montaje de Amazon Elastic File System (EFS). Se limitan a las etiquetadas con la clave ManagedByAmazonSageMakerResource. Permite a las entidades principales describir todos los sistemas de archivos, puntos de acceso y destinos de montaje de EFS. Permite a las entidades principales crear o sobrescribir etiquetas para los puntos de acceso de EFS y objetivos de montaje.

• ec2— Permite a los directores crear interfaces de red y grupos de seguridad para las instancias de Amazon Elastic Compute Cloud (EC2). También permite a las entidades principales crear y sobrescribir etiquetas para estos recursos.

• sso: permite a las entidades principales agregar y eliminar instancias de aplicaciones administradas a AWS IAM Identity Center.

• sagemaker— Permite a los directores crear y leer SageMaker perfiles de usuario y espacios de SageMaker IA; eliminar espacios de SageMaker IA y aplicaciones de SageMaker IA; y añadir y enumerar etiquetas.

• fsx— Permite a los directores describir el sistema de archivos Amazon FSx for Lustre y utilizar los metadatos para montarlo en una libreta.

{
    "Version": "2012-10-17",
    "Statement": [
        {   
            "Sid": "AllowFSxDescribe",
            "Effect": "Allow",
            "Action": [
                "fsx:DescribeFileSystems",
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "AllowSageMakerDeleteApp",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DeleteApp"
            ],
            "Resource": "arn:aws:sagemaker:*:*:app/*"
        },
        {
            "Sid": "AllowEFSAccessPointCreation",
            "Effect": "Allow",
            "Action": "elasticfilesystem:CreateAccessPoint",
            "Resource": "arn:aws:elasticfilesystem:*:*:file-system/*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/ManagedByAmazonSageMakerResource": "*",
                    "aws:RequestTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Sid": "AllowEFSAccessPointDeletion",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DeleteAccessPoint"
            ],
            "Resource": "arn:aws:elasticfilesystem:*:*:access-point/*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Sid": "AllowEFSCreation",
            "Effect": "Allow",
            "Action": "elasticfilesystem:CreateFileSystem",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Sid": "AllowEFSMountWithDeletion",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:CreateMountTarget",
                "elasticfilesystem:DeleteFileSystem",
                "elasticfilesystem:DeleteMountTarget"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Sid": "AllowEFSDescribe",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DescribeAccessPoints",
                "elasticfilesystem:DescribeFileSystems",
                "elasticfilesystem:DescribeMountTargets"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowEFSTagging",
            "Effect": "Allow",
            "Action": "elasticfilesystem:TagResource",
            "Resource": [
                "arn:aws:elasticfilesystem:*:*:access-point/*",
                "arn:aws:elasticfilesystem:*:*:file-system/*"
            ],
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Sid": "AllowEC2Tagging",
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*",
                "arn:aws:ec2:*:*:security-group/*"
            ]
        },
        {
            "Sid": "AllowEC2Operations",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:CreateSecurityGroup",
                "ec2:DeleteNetworkInterface",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ec2:ModifyNetworkInterfaceAttribute"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowEC2AuthZ",
            "Effect": "Allow",
            "Action": [
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:DeleteSecurityGroup",
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupIngress"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ec2:ResourceTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Sid": "AllowIdcOperations",
            "Effect": "Allow",
            "Action": [
                "sso:CreateManagedApplicationInstance",
                "sso:DeleteManagedApplicationInstance",
                "sso:GetManagedApplicationInstance"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowSagemakerProfileCreation",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreateUserProfile",
                "sagemaker:DescribeUserProfile"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowSagemakerSpaceOperationsForCanvasManagedSpaces",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreateSpace",
                "sagemaker:DescribeSpace",
                "sagemaker:DeleteSpace",
                "sagemaker:ListTags"
            ],
            "Resource": "arn:aws:sagemaker:*:*:space/*/CanvasManagedSpace-*"
        },
        {
            "Sid": "AllowSagemakerAddTagsForAppManagedSpaces",
            "Effect": "Allow",
            "Action": [
                "sagemaker:AddTags"
            ],
            "Resource": "arn:aws:sagemaker:*:*:space/*/CanvasManagedSpace-*",
            "Condition": {
                "StringEquals": {
                    "sagemaker:TaggingAction": "CreateSpace"
                }
            }
        }
    ]
}

Amazon SageMaker AI actualiza las políticas gestionadas de SageMaker AI Notebooks

Consulta los detalles sobre las actualizaciones de las políticas AWS gestionadas de Amazon SageMaker AI desde que este servicio comenzó a realizar el seguimiento de estos cambios.

Política	Versión	Cambio	Date
AmazonSageMakerNotebooksServiceRolePolicy: actualización de una política existente	10	Se agregó el permiso fsx:DescribeFileSystems.	14 de noviembre de 2024
AmazonSageMakerNotebooksServiceRolePolicy: actualización de una política existente	9	Se agregó el permiso sagemaker:DeleteApp.	24 de julio de 2024
AmazonSageMakerNotebooksServiceRolePolicy - Actualización de una política existente	8	Se agregaron los permisos sagemaker:CreateSpace, sagemaker:DescribeSpace, sagemaker:DeleteSpace, sagemaker:ListTags y sagemaker:AddTags.	22 de mayo de 2024
AmazonSageMakerNotebooksServiceRolePolicy - Actualización a una política existente	7	Se agregó el permiso elasticfilesystem:TagResource.	9 de marzo de 2023
AmazonSageMakerNotebooksServiceRolePolicy - Actualización a una política existente	6	Se agregaron los permisos elasticfilesystem:CreateAccessPoint, elasticfilesystem:DeleteAccessPoint y elasticfilesystem:DescribeAccessPoints.	12 de enero de 2023
		SageMaker AI comenzó a rastrear los cambios en sus políticas AWS gestionadas.	1 de junio de 2021