Autorisations

Vous devez créer deux rôles . Un rôle autorise le lancement d'une instance d' SageMaker IA afin de conteneuriser un bloc-notes. Un autre rôle est nécessaire pour exécuter un conteneur.

Le rôle peut être créé automatiquement par ou manuellement. Si vous créez votre nouvelle instance d' SageMaker IA avec la AWS IoT Analytics console, vous avez la possibilité de créer automatiquement un nouveau rôle qui accorde tous les privilèges nécessaires pour exécuter des instances d' SageMaker IA et conteneuriser des blocs-notes. Vous pouvez également créer manuellement un rôle avec ces privilèges. Pour ce faire, créez un rôle auquel est attachée la AmazonSageMakerFullAccess politique et ajoutez la stratégie suivante.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:BatchDeleteImage",
        "ecr:BatchGetImage",
        "ecr:CompleteLayerUpload",
        "ecr:CreateRepository",
        "ecr:DescribeRepositories",
        "ecr:GetAuthorizationToken",
        "ecr:InitiateLayerUpload",
        "ecr:PutImage",
        "ecr:UploadLayerPart"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::iotanalytics-notebook-containers/*"
    }
  ]
}

Vous devez créer manuellement le second rôle qui accorde l'autorisation d'exécuter un conteneur. Vous devez le faire même si vous avez utilisé la AWS IoT Analytics console pour créer automatiquement le premier rôle. Créez un rôle associé à la politique et à la politique de confiance suivantes.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:PutObject",
                "s3:GetObject",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::aws-*-dataset-*/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotanalytics:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability",
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:DescribeLogStreams",
                "logs:GetLogEvents",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*"
        }
    ]
}

Voici un exemple de politique de confiance.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": ["sagemaker.amazonaws.com", "iotanalytics.amazonaws.com"]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}