Seguimiento de linaje entre cuentas

Amazon SageMaker admite el seguimiento de entidades de linaje desde una AWS cuenta diferente. Otras AWS cuentas pueden compartir sus entidades de linaje contigo y puedes acceder a estas entidades de linaje mediante llamadas directas a la API o SageMaker consultas de linaje.

SageMaker AWS Resource Access Managerse utiliza para ayudarte a compartir tus recursos de linaje de forma segura. Puede compartir sus recursos a través de la consola de AWS RAM.

Configuración del seguimiento del linaje entre cuentas

Puedes agruparlos y compartirlos a Entidades de seguimiento de linaje través de un grupo de linaje en Amazon SageMaker. SageMaker solo admite un grupo de linaje predeterminado por cuenta. SageMaker crea el grupo de linaje predeterminado cada vez que se crea una entidad de linaje en su cuenta. Todas las entidades de linaje propiedad de su cuenta están asignadas a este grupo de linaje predeterminado. Para compartir entidades de linaje con otra cuenta, compartirá este grupo de linaje predeterminado con esa cuenta.

nota

Puede compartir todas las entidades de seguimiento de linaje de un grupo de linaje o ninguna.

Cree un recurso compartido para sus entidades de linaje mediante la consola. AWS Resource Access Manager Para obtener más información, consulte Compartir sus AWS recursos en la Guía del AWS Resource Access Manager usuario.

nota

Una vez creado el recurso compartido, las asociaciones de recursos y entidades principales pueden tardar unos minutos en completarse. Una vez que se establece la asociación, la cuenta compartida recibe una invitación para unirse al recurso compartido. La cuenta compartida debe aceptar la invitación para acceder a los recursos compartidos. Para obtener más información sobre cómo aceptar una invitación para compartir recursos AWS RAM, consulte Uso de AWS recursos compartidos en la Guía del usuario de AWS Resource Access Manager.

Su política de recursos para el seguimiento del linaje entre cuentas

Amazon solo SageMaker admite un tipo de política de recursos. La política de SageMaker recursos debe permitir todas las operaciones siguientes:

"sagemaker:DescribeAction"
"sagemaker:DescribeArtifact"
"sagemaker:DescribeContext"
"sagemaker:DescribeTrialComponent"
"sagemaker:AddAssociation"
"sagemaker:DeleteAssociation"
"sagemaker:QueryLineage"            
          

ejemplo La siguiente es una política de SageMaker recursos creada AWS Resource Access Manager para crear un recurso compartido para un grupo de linaje de cuentas.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "FullLineageAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012" #account-id
      },
      "Action": [
        "sagemaker:DescribeAction",
        "sagemaker:DescribeArtifact",
        "sagemaker:DescribeContext",
        "sagemaker:DescribeTrialComponent",
        "sagemaker:AddAssociation",
        "sagemaker:DeleteAssociation",
        "sagemaker:QueryLineage"
      ],
      "Resource": "arn:aws:sagemaker:us-west-2:111111111111:lineage-group/sagemaker-default-lineage-group" #Sample lineage group resource 
    }
  ]
}

Seguimiento de entidades de linaje entre cuentas

Con el seguimiento de linaje entre cuentas, puede asociar entidades de linaje en diferentes cuentas mediante la misma acción de la API AddAssociation. Cuando asocias dos entidades de linaje, SageMaker valida si tienes permisos para realizar la acción de la AddAssociation API en ambas entidades de linaje. SageMaker a continuación, establece la asociación. Si no tiene los permisos, SageMaker no crea la asociación. Una vez establecida la asociación entre cuentas, puede acceder a cualquiera de las entidades de linaje desde la otra mediante la acción de la API QueryLineage. Para obtener más información, consulte Consulta de entidades de linaje.

Además de crear SageMaker automáticamente entidades de linaje, si tiene acceso entre cuentas, SageMaker conecta los artefactos que hacen referencia al mismo objeto o a los mismos datos. Si diferentes cuentas utilizan los datos de una cuenta para rastrear el linaje, SageMaker crea un artefacto en cada cuenta para rastrear esos datos. Con el linaje entre cuentas, cada vez que se SageMaker crean nuevos artefactos, se SageMaker comprueba si se han creado otros artefactos con los mismos datos y que también se hayan compartido contigo. SageMaker a continuación, establece las asociaciones entre el artefacto recién creado y cada uno de los artefactos que has compartido contigo con el AssociationType conjunto para. SameAs A continuación, puede utilizar la acción de la API QueryLineage para pasar las entidades de linaje de su propia cuenta a las entidades de linaje compartidas con usted pero que pertenecen a otra cuenta de AWS . Para obtener más información, consulte Consulta de entidades de linaje.

Acceso a los recursos de linaje desde cuentas diferentes

Una vez que se haya configurado el acceso entre cuentas para compartir el linaje, puedes ejecutar las siguientes acciones de la SageMaker API directamente con el ARN para describir las entidades del linaje compartido desde otra cuenta:

• DescribeAction

• DescribeArtifact

• DescribeContext

• DescribeTrialComponent

También puedes gestionar las asociaciones de las entidades de linaje que sean propiedad de distintas cuentas que compartas contigo mediante las siguientes acciones de la API: SageMaker

• AddAssociation

• DeleteAssociation

Para ver un cuaderno que muestre cómo usar las API de linaje para consultar el SageMaker linaje de las cuentas, consulta sagemaker-lineage-cross-account-with-ram.ipynb.

Autorización para consultar entidades de linaje entre cuentas

Amazon SageMaker debe validar que tienes permisos para realizar la acción de la QueryLineage API en elStartArns. Esto se aplica mediante la política de recursos asociada alLineageGroup. El resultado de esta acción incluye todas las entidades de linaje a las que tiene acceso, ya sean propiedad de su cuenta o compartidas por otra cuenta. Para obtener más información, consulte Consulta de entidades de linaje.