Création d'un rôle de service pour lire les données d'entraînement Création d'un rôle de service pour écrire un segment similaire Création d'un rôle de service pour lire les données de départ

Configuration des rôles de service pour le AWS Clean Rooms ML

Rubriques

Création d'un rôle de service pour lire les données d'entraînement
Création d'un rôle de service pour écrire un segment similaire
Création d'un rôle de service pour lire les données de départ

Création d'un rôle de service pour lire les données d'entraînement

AWS Clean Rooms utilise un rôle de service pour lire les données d'entraînement. Vous pouvez créer ce rôle à l'aide de la console si vous disposez des IAM autorisations nécessaires. Si vous ne disposez pas des CreateRole autorisations nécessaires, demandez à votre administrateur de créer le rôle de service.

Pour créer un rôle de service afin d'entraîner un ensemble de données

Connectez-vous à la IAM console (https://console.aws.amazon.com/iam/) avec votre compte administrateur.
Sous Access Management (Gestion des accès), choisissez Policies (politiques).
Choisissez Create Policy (Créer une politique).

Dans l'éditeur de stratégie, sélectionnez l'JSONonglet, puis copiez et collez la politique suivante.

Note

L'exemple de politique suivant prend en charge les autorisations nécessaires pour lire AWS Glue les métadonnées et les données Amazon S3 correspondantes. Toutefois, il se peut que vous deviez modifier cette politique en fonction de la façon dont vous avez configuré vos données S3. Cette politique n'inclut pas de KMS clé permettant de déchiffrer les données.

Vos AWS Glue ressources et les ressources Amazon S3 sous-jacentes doivent être identiques à Région AWS celles de la AWS Clean Rooms collaboration.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:BatchGetPartition", 
                "glue:GetUserDefinedFunctions"
            ],
            "Resource": [
                "arn:aws:glue:region:accountId:database/databases",
                "arn:aws:glue:region:accountId:table/databases/tables",
                "arn:aws:glue:region:accountId:catalog",
                "arn:aws:glue:region:accountId:database/default"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "glue:CreateDatabase"
            ],
            "Resource": [
                "arn:aws:glue:region:accountId:database/default"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::bucket"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        }
    ]
}

Si vous devez utiliser une KMS clé pour déchiffrer des données, ajoutez cette AWS KMS instruction au modèle précédent :


{
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
    ]
}

Choisissez Suivant.
Pour Révision et création, entrez le nom et la description de la politique, puis consultez le résumé.
Choisissez Create Policy (Créer une politique).

Vous avez créé une politique pour AWS Clean Rooms.
Sous Access Management (Gestion des accès), choisissez Roles (Rôles).

Avec les rôles, vous pouvez créer des informations d'identification à court terme, ce qui est recommandé pour renforcer la sécurité. Vous pouvez également sélectionner Utilisateurs pour créer des informations d'identification à long terme.
Sélectionnez Créer un rôle.
Dans l'assistant de création de rôle, pour Type d'entité fiable, choisissez Politique de confiance personnalisée.

Copiez et collez la politique de confiance personnalisée suivante dans l'JSONéditeur.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": { 
                    "aws:SourceAccount": ["accountId"]
                },
                "StringLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:region:account:training-dataset/*"
                }
            }
        }
    ]
}

SourceAccountC'est toujours votre AWS compte. Ils SourceArn peuvent être limités à un ensemble de données d'entraînement spécifique, mais uniquement après la création de cet ensemble de données. Comme vous ne pouvez pas connaître à l'avance le jeu de données d'entraînementARN, le caractère générique est spécifié ici.

Choisissez Suivant et sous Ajouter des autorisations, entrez le nom de la politique que vous venez de créer. (Vous devrez peut-être recharger la page.)
Cochez la case à côté du nom de la politique que vous avez créée, puis choisissez Next.
Dans Nom, révision et création, entrez le nom et la description du rôle.

Note
Le nom du rôle doit correspondre au modèle des passRole autorisations accordées au membre qui peut interroger et recevoir des résultats et des rôles de membre.
1. Passez en revue Sélectionnez les entités fiables et modifiez-les si nécessaire.
2. Passez en revue les autorisations dans Ajouter des autorisations et modifiez-les si nécessaire.
3. Passez en revue les balises et ajoutez-y des balises si nécessaire.
4. Sélectionnez Créer un rôle.
Le rôle de service pour AWS Clean Rooms a été créé.

Création d'un rôle de service pour écrire un segment similaire

AWS Clean Rooms utilise un rôle de service pour écrire des segments similaires dans un compartiment. Vous pouvez créer ce rôle à l'aide de la console si vous disposez des IAM autorisations nécessaires. Si vous ne disposez pas des CreateRole autorisations nécessaires, demandez à votre administrateur de créer le rôle de service.

Pour créer un rôle de service, pour écrire un segment similaire

Connectez-vous à la IAM console (https://console.aws.amazon.com/iam/) avec votre compte administrateur.
Sous Access Management (Gestion des accès), choisissez Policies (politiques).
Choisissez Create Policy (Créer une politique).

Dans l'éditeur de stratégie, sélectionnez l'JSONonglet, puis copiez et collez la politique suivante.

Note

Vos AWS Glue ressources et les ressources Amazon S3 sous-jacentes doivent être identiques à Région AWS celles de la AWS Clean Rooms collaboration.


{
    "Version": "2012-10-17",
    "Statement": [
    {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::buckets"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        }
  ]
}

Si vous devez utiliser une KMS clé pour chiffrer des données, ajoutez cette AWS KMS instruction au modèle :


{
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey*",
                "kms:ReEncrypt*",
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

Si vous devez utiliser une KMS clé pour déchiffrer des données, ajoutez cette AWS KMS instruction au modèle :


{
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

Choisissez Suivant.
Pour Révision et création, entrez le nom et la description de la politique, puis consultez le résumé.
Choisissez Create Policy (Créer une politique).

Vous avez créé une politique pour AWS Clean Rooms.
Sous Access Management (Gestion des accès), choisissez Roles (Rôles).

Avec les rôles, vous pouvez créer des informations d'identification à court terme, ce qui est recommandé pour renforcer la sécurité. Vous pouvez également sélectionner Utilisateurs pour créer des informations d'identification à long terme.
Sélectionnez Créer un rôle.
Dans l'assistant de création de rôle, pour Type d'entité fiable, choisissez Politique de confiance personnalisée.

Copiez et collez la politique de confiance personnalisée suivante dans l'JSONéditeur.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": { 
                    "aws:SourceAccount": ["accountId"]

                },
                "StringLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:region:account:configured-audience-model/*"
                }
            }
        }
    ]
}

Choisissez Suivant.
Cochez la case à côté du nom de la politique que vous avez créée, puis choisissez Next.
Dans Nom, révision et création, entrez le nom et la description du rôle.

Note
Le nom du rôle doit correspondre au modèle des passRole autorisations accordées au membre qui peut interroger et recevoir des résultats et des rôles de membre.
1. Passez en revue Sélectionnez les entités fiables et modifiez-les si nécessaire.
2. Passez en revue les autorisations dans Ajouter des autorisations et modifiez-les si nécessaire.
3. Passez en revue les balises et ajoutez-y des balises si nécessaire.
4. Sélectionnez Créer un rôle.
Le rôle de service pour AWS Clean Rooms a été créé.

Création d'un rôle de service pour lire les données de départ

AWS Clean Rooms utilise un rôle de service pour lire les données de départ. Vous pouvez créer ce rôle à l'aide de la console si vous disposez des IAM autorisations nécessaires. Si vous ne disposez pas des CreateRole autorisations nécessaires, demandez à votre administrateur de créer le rôle de service.

Créer un rôle de service pour lire les données de départ stockées dans un compartiment Amazon S3.

Connectez-vous à la IAM console (https://console.aws.amazon.com/iam/) avec votre compte administrateur.
Sous Access Management (Gestion des accès), choisissez Policies (politiques).
Choisissez Create Policy (Créer une politique).

Dans l'éditeur de stratégies, sélectionnez l'JSONonglet, puis copiez et collez l'une des politiques suivantes.

Note

Vos AWS Glue ressources et les ressources Amazon S3 sous-jacentes doivent être identiques à Région AWS celles de la AWS Clean Rooms collaboration.


{
    "Version": "2012-10-17",
    "Statement": [
    {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
            ],
            "Resource": [
                "arn:aws:s3:::buckets"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        }
  ]
}

Note

L'exemple de politique suivant prend en charge les autorisations nécessaires pour lire les résultats d'une SQL requête et les utiliser comme données d'entrée. Toutefois, il se peut que vous deviez modifier cette politique en fonction de la structure de votre requête. Cette politique n'inclut pas de KMS clé permettant de déchiffrer les données.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCleanRoomsStartQuery",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetCollaborationAnalysisTemplate",
                "cleanrooms:GetSchema", 
                "cleanrooms:StartProtectedQuery"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowCleanRoomsGetAndUpdateQuery",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetProtectedQuery", 
                "cleanrooms:UpdateProtectedQuery"
            ],
            "Resource": [
                "arn:aws:cleanrooms:{{region}}:{{queryRunnerAccountId}}:membership/{{queryRunnerMembershipId}}"
            ]
        }
    ]
}

Si vous devez utiliser une KMS clé pour déchiffrer des données, ajoutez cette AWS KMS instruction au modèle :


{
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

Choisissez Suivant.
Pour Révision et création, entrez le nom et la description de la politique, puis consultez le résumé.
Choisissez Create Policy (Créer une politique).

Vous avez créé une politique pour AWS Clean Rooms.
Sous Access Management (Gestion des accès), choisissez Roles (Rôles).

Avec les rôles, vous pouvez créer des informations d'identification à court terme, ce qui est recommandé pour renforcer la sécurité. Vous pouvez également sélectionner Utilisateurs pour créer des informations d'identification à long terme.
Sélectionnez Créer un rôle.
Dans l'assistant de création de rôle, pour Type d'entité fiable, choisissez Politique de confiance personnalisée.

Copiez et collez la politique de confiance personnalisée suivante dans l'JSONéditeur.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": {
                    "aws:SourceAccount": ["accountId"]

                },
                "StringLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:region:account:audience-generation-job/*"
                }
            }
        }
    ]
}

Choisissez Suivant.
Cochez la case à côté du nom de la politique que vous avez créée, puis choisissez Next.
Dans Nom, révision et création, entrez le nom et la description du rôle.

Note
Le nom du rôle doit correspondre au modèle des passRole autorisations accordées au membre qui peut interroger et recevoir des résultats et des rôles de membre.
1. Passez en revue Sélectionnez les entités fiables et modifiez-les si nécessaire.
2. Passez en revue les autorisations dans Ajouter des autorisations et modifiez-les si nécessaire.
3. Passez en revue les balises et ajoutez-y des balises si nécessaire.
4. Sélectionnez Créer un rôle.
Le rôle de service pour AWS Clean Rooms a été créé.

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Configurer les rôles de service pour AWS Clean Rooms

Collaborations et adhésions