AWSPolíticas gestionadas para SageMaker oleoductos

Estas políticas AWS gestionadas añaden los permisos necesarios para usar SageMaker Pipelines. Las políticas están disponibles en tu AWS cuenta y las utilizan los roles de ejecución creados desde la SageMaker consola.

AWSpolítica gestionada: AmazonSageMakerPipelinesIntegrations

Esta política AWS gestionada concede los permisos que normalmente se necesitan para usar los pasos de Callback y Lambda en SageMaker Pipelines. La política se añade a la AmazonSageMaker-ExecutionRole que se crea cuando te incorporas a Amazon SageMaker Studio Classic. La política se puede asociar a cualquier otro rol usado para crear o ejecutar una canalización.

Esta política otorga los permisos correspondientes a AWS Lambda, Amazon Simple Queue Service (Amazon SQS), EventBridge Amazon e IAM necesarios para crear canalizaciones que invoquen funciones de Lambda o incluyan pasos de devolución de llamada, que se pueden utilizar para pasos de aprobación manual o para ejecutar cargas de trabajo personalizadas.

Los permisos de Amazon SQS le permiten crear la cola de Amazon SQS necesaria para recibir mensajes de devolución de llamada y también enviar mensajes a esa cola.

Los permisos de Lambda le permiten crear, leer, actualizar y eliminar las funciones de Lambda utilizadas en los pasos de la canalización, y también invocar esas funciones de Lambda.

Esta política otorga los permisos de Amazon EMR necesarios para ejecutar un paso de Amazon EMR de las canalizaciones.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• elasticmapreduce: lee, agrega y cancela los pasos de un clúster de Amazon EMR en ejecución. Lee, crea y finaliza un nuevo clúster de Amazon EMR.

• events— Lea, cree, actualice y añada objetivos a una regla denominada y. EventBridge SageMakerPipelineExecutionEMRStepStatusUpdateRule SageMakerPipelineExecutionEMRClusterStatusUpdateRule

• iam: transfiere un rol de IAM al servicio AWS Lambda, Amazon EMR y Amazon EC2.

• lambda: crea, lee, actualiza, elimina e invoca funciones de Lambda. Estos permisos se limitan a las funciones cuyo nombre incluya “sagemaker”.

• sqs: crea una cola de Amazon SQS; envía un mensaje de Amazon SQS. Estos permisos se limitan a las colas cuyo nombre incluya “sagemaker”.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lambda:CreateFunction",
                "lambda:DeleteFunction",
                "lambda:GetFunction",
                "lambda:InvokeFunction",
                "lambda:UpdateFunctionCode"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*sagemaker*",
                "arn:aws:lambda:*:*:function:*sageMaker*",
                "arn:aws:lambda:*:*:function:*SageMaker*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sqs:CreateQueue",
                "sqs:SendMessage"
            ],
            "Resource": [
                "arn:aws:sqs:*:*:*sagemaker*",
                "arn:aws:sqs:*:*:*sageMaker*",
                "arn:aws:sqs:*:*:*SageMaker*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "lambda.amazonaws.com",
                        "elasticmapreduce.amazonaws.com",
                        "ec2.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:PutRule",
                "events:PutTargets"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/SageMakerPipelineExecutionEMRStepStatusUpdateRule",
                "arn:aws:events:*:*:rule/SageMakerPipelineExecutionEMRClusterStatusUpdateRule"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:AddJobFlowSteps",
                "elasticmapreduce:CancelSteps",
                "elasticmapreduce:DescribeStep",
                "elasticmapreduce:RunJobFlow",
                "elasticmapreduce:DescribeCluster",
                "elasticmapreduce:TerminateJobFlows",
                "elasticmapreduce:ListSteps"
            ],
            "Resource": [
                "arn:aws:elasticmapreduce:*:*:cluster/*"
            ]
        }
    ]
}

Amazon SageMaker actualiza las políticas gestionadas por SageMaker Pipelines

Consulta los detalles sobre las actualizaciones de las políticas AWS gestionadas de Amazon SageMaker desde que este servicio comenzó a realizar el seguimiento de estos cambios.

Política	Versión	Cambio	Date
AmazonSageMakerPipelinesIntegrations: actualización de una política existente	3	Se agregaron permisos para elasticmapreduce:RunJobFlows, elasticmapreduce:TerminateJobFlows, elasticmapreduce:ListSteps y elasticmapreduce:DescribeCluster.	17 de febrero de 2023
AmazonSageMakerPipelinesIntegrations: actualización de una política existente	2	Se agregaron permisos para lambda:GetFunction, events:DescribeRule, events:PutRule, events:PutTargets, elasticmapreduce:AddJobFlowSteps, elasticmapreduce:CancelSteps y elasticmapreduce:DescribeStep.	20 de abril de 2022
AmazonSageMakerPipelinesIntegrations - Nueva política	1	Política inicial	30 de julio de 2021