Autorisations d'API Amazon SageMaker : référence des actions, des autorisations et des ressources - Amazon SageMaker

Autorisations d'API Amazon SageMaker : référence des actions, des autorisations et des ressources

Lorsque vous configurez le contrôle d'accès et que vous écrivez une stratégie d'autorisations que vous pouvez attacher à une identité IAM (stratégie basée sur une identité), utilisez le tableau suivant comme référence. Le tableau répertorie chaque opération d'API Amazon SageMaker, les actions correspondantes pour lesquelles vous pouvez accorder des autorisations d'exécution et la ressource AWS pour laquelle vous pouvez accorder les autorisations. Vous spécifiez les actions dans le champ Action de la politique ainsi que la valeur des ressources dans le champ Resource de la politique.

Note

À l'exception de l'API ListTags, les restrictions au niveau des ressources ne sont pas disponibles sur les appels List-. Tout utilisateur appelant une API List- verra toutes les ressources de ce type dans le compte.

Pour exprimer les conditions des politiques Amazon SageMaker, vous pouvez utiliser les clés de condition à l'échelle d'AWS. Pour obtenir la liste complète des clés à l'échelle d'AWS, veuillez consulter Clés disponibles dans le Guide de l'utilisateur IAM.

Utilisez les barres de défilement pour voir le reste du tableau.

Opérations d'API Amazon SageMaker et autorisations requises pour les actions
Opérations relatives à l'API Amazon SageMaker Autorisations requises (Action d'API) Ressources

AddTags

sagemaker:AddTags

arn:aws:sagemaker:region:account-id:*

CreateApp

sagemaker:CreateApp

arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/app-type/appName

CreateAppImageConfig

sagemaker:CreateAppImageConfig

arn:aws:sagemaker:region:account-id:app-image-config/appImageConfigName

CreateAutoMLJob

sagemaker:CreateAutoMLJob

iam:PassRole

L'autorisation suivante est obligatoire uniquement si le ResourceConfig associé comporte un VolumeKmsKeyId spécifié et le rôle associé n'a pas de politique qui autorise cette action :

kms:CreateGrant

arn:aws:sagemaker:region:account-id:automl-job/autoMLJobName

CreateDomain

sagemaker:CreateDomain

iam:CreateServiceLinkedRole

iam:PassRole

Obligatoire si une clé gérée par le client KMS est spécifiée pour KmsKeyId :

elasticfilesystem:CreateFileSystem

kms:CreateGrant

kms:Decrypt

kms:DescribeKey

kms:GenerateDataKeyWithoutPlainText

Nécessaire pour créer un domaine prenant en charge RStudio :

sagemaker:CreateApp

arn:aws:sagemaker:region:account-id:domain/domain-id

CreateEndpoint

sagemaker:CreateEndpoint

kms:CreateGrant (obligatoire uniquement si l'EndPointConfig associé a un KmsKeyId spécifié)

arn:aws:sagemaker:region:account-id:endpoint/endpointName

arn:aws:sagemaker:region:account-id:endpoint-config/endpointConfigName

CreateEndpointConfig

sagemaker:CreateEndpointConfig

arn:aws:sagemaker:region:account-id:endpoint-config/endpointConfigName

CreateFlowDefinition

sagemaker:CreateFlowDefinition

iam:PassRole

arn:aws:sagemaker:region:account-id:flow-definition/flowDefinitionName

CreateHumanTaskUi

sagemaker:CreateHumanTaskUi

arn:aws:sagemaker:region:account-id:human-task-ui/humanTaskUiName

CreateInferenceRecommendationsJob

sagemaker:CreateInferenceRecommendationsJob

iam:PassRole

Les autorisations suivantes sont requises uniquement si vous spécifiez une clé de chiffrement :

kms:CreateGrant

kms:Decrypt

kms:DescribeKey

kms:GenerateDataKey

arn:aws:sagemaker:region:account-id:inference-recommendations-job/inferenceRecommendationsJobName

CreateHyperParameterTuningJob

sagemaker:CreateHyperParameterTuningJob

iam:PassRole

L'autorisation suivante est obligatoire uniquement si l'un des ResourceConfig associés comporte un VolumeKmsKeyId spécifié et le rôle associé n'a pas de politique qui autorise cette action :

kms:CreateGrant

arn:aws:sagemaker:region:account-id:hyper-parameter-tuning-job/hyperParameterTuningJobName

CreateImage

sagemaker:CreateImage

iam:PassRole

arn:aws:sagemaker:region:account-id:image/*

CreateImageVersion

sagemaker:CreateImageVersion

arn:aws:sagemaker:region:account-id:image-version/imageName/*

CreateLabelingJob

sagemaker:CreateLabelingJob

iam:PassRole

arn:aws:sagemaker:region:account-id:labeling-job/labelingJobName

CreateModel

sagemaker:CreateModel

iam:PassRole

arn:aws:sagemaker:region:account-id:model/modelName

CreateModelPackage

sagemaker:CreateModelPackage

arn:aws:sagemaker:region:account-id:model-package/modelPackageName

CreateModelPackageGroup

sagemaker:CreateModelPackageGroup

arn:aws:sagemaker:region:account-id:model-package-group/modelPackageGroupName

CreateNotebookInstance

sagemaker:CreateNotebookInstance

iam:PassRole

Les autorisations suivantes sont requises uniquement si vous spécifiez un VPC pour votre instance de bloc-notes :

ec2:CreateNetworkInterface

ec2:DescribeSecurityGroups

ec2:DescribeSubnets

ec2:DescribeVpcs

L'autorisation suivante est requise uniquement si vous spécifiez un VPC et un accélérateur d'inférence Elastic pour votre instance de bloc-notes :

ec2:DescribeVpcEndpoints

Les autorisations suivantes sont requises uniquement si vous spécifiez une clé de chiffrement :

kms:DescribeKey

kms:CreateGrant

L'autorisation suivante est requise uniquement si vous spécifiez un secret AWS Secrets Manager pour accéder à un référentiel Git privé :

secretsmanager:GetSecretValue

arn:aws:sagemaker:region:account-id:notebook-instance/notebookInstanceName

CreatePipeline

sagemaker:CreatePipeline

iam:PassRole

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name

arn:aws-partition:iam::account-id:role/role-name

CreatePresignedDomainUrl

sagemaker:CreatePresignedDomainUrl

arn:aws:sagemaker:region:account-id:app/domain-id/userProfileName/*

CreatePresignedNotebookInstanceUrl

sagemaker:CreatePresignedNotebookInstanceUrl

arn:aws:sagemaker:region:account-id:notebook-instance/notebookInstanceName

CreateProcessingJob

sagemaker:CreateProcessingJob

iam:PassRole

kms:CreateGrant (obligatoire uniquement si le ProcessingResources associé comporte un VolumeKmsKeyId spécifié et le rôle associé n'a pas de stratégie qui autorise cette action)

arn:aws:sagemaker:region:account-id:processing-job/processingJobName

CreateStudioLifecycleConfig

sagemaker:CreateStudioLifecycleConfig

arn:aws:sagemaker:region:account-id:studio-lifecycle-config/.*

CreateTrainingJob

sagemaker:CreateTrainingJob

iam:PassRole

kms:CreateGrant (obligatoire uniquement si le ResourceConfig associé comporte un VolumeKmsKeyId spécifié et le rôle associé n'a pas de stratégie qui autorise cette action)

arn:aws:sagemaker:region:account-id:training-job/trainingJobName

CreateTransformJob

sagemaker:CreateTransformJob

kms:CreateGrant (obligatoire uniquement si le TransformResources associé comporte un VolumeKmsKeyId spécifié et le rôle associé n'a pas de stratégie qui autorise cette action)

arn:aws:sagemaker:region:account-id:transform-job/transformJobName

CreateUserProfile

sagemaker:CreateUserProfile

iam:PassRole

arn:aws:sagemaker:region:account-id:user-profile/domain-id/userProfileName

CreateWorkforce

sagemaker:CreateWorkforce

cognito-idp:DescribeUserPoolClient

cognito-idp:UpdateUserPool

cognito-idp:DescribeUserPool

cognito-idp:UpdateUserPoolClient

arn:aws:sagemaker:region:account-id:workforce/*

CreateWorkteam

sagemaker:CreateWorkteam

cognito-idp:DescribeUserPoolClient

cognito-idp:UpdateUserPool

cognito-idp:DescribeUserPool

cognito-idp:UpdateUserPoolClient

arn:aws:sagemaker:region:account-id:workteam/private-crowd/work team name

DeleteApp

sagemaker:DeleteApp

arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/app-type/appName

DeleteAppImageConfig

sagemaker:DeleteAppImageConfig

arn:aws:sagemaker:region:account-id:app-image-config/appImageConfigName

DeleteDomain

sagemaker:DeleteDomain

arn:aws:sagemaker:region:account-id:domain/domainId

DeleteEndpoint

sagemaker:DeleteEndpoint

arn:aws:sagemaker:region:account-id:endpoint/endpointName

DeleteEndpointConfig

sagemaker:DeleteEndpointConfig

arn:aws:sagemaker:region:account-id:endpoint-config/endpointConfigName

DeleteFlowDefinition

sagemaker:DeleteFlowDefinition

arn:aws:sagemaker:region:account-id:flow-definition/flowDefinitionName

DeleteHumanLoop

sagemaker:DeleteHumanLoop

arn:aws:sagemaker:region:account-id:human-loop/humanLoopName

DeleteImage

sagemaker:DeleteImage

arn:aws:sagemaker:region:account-id:image/imageName

DeleteImageVersion

sagemaker:DeleteImageVersion

arn:aws:sagemaker:region:account-id:image-version/imageName/versionNumber

DeleteModel

sagemaker:DeleteModel

arn:aws:sagemaker:region:account-id:model/modelName

DeleteModelPackage

sagemaker:DeleteModelPackage

arn:aws:sagemaker:region:account-id:model-package/modelPackageName

DeleteModelPackageGroup

sagemaker:DeleteModelPackageGroup

arn:aws:sagemaker:region:account-id:model-package-group/modelPackageGroupName

DeleteModelPackageGroupPolicy

sagemaker:DeleteModelPackageGroupPolicy

arn:aws:sagemaker:region:account-id:model-package-group/modelPackageGroupName

DeleteNotebookInstance

sagemaker:DeleteNotebookInstance

L'autorisation suivante est requise uniquement si vous avez spécifié un VPC pour votre instance de bloc-notes :

ec2:DeleteNetworkInterface

Les autorisations suivantes sont requises uniquement si vous avez spécifié une clé de chiffrement lors de la création de l'instance de bloc-notes :

kms:DescribeKey

arn:aws:sagemaker:region:account-id:notebook-instance/notebookInstanceName

DeletePipeline

sagemaker:DeletePipeline

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name

DeleteTags

sagemaker:DeleteTags

arn:aws:sagemaker:region:account-id:*

DeleteUserProfile

sagemaker:DeleteUserProfile

arn:aws:sagemaker:region:account-id:user-profile/domain-id/userProfileName

DeleteWorkforce

sagemaker:DeleteWorkforce

arn:aws:sagemaker:region:account-id:workforce/*

DeleteWorkteam

sagemaker:DeleteWorkteam

arn:aws:sagemaker:region:account-id:workteam/private-crowd/*

DescribeApp

sagemaker:DescribeApp

arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/app-type/appName

DescribeAppImageConfig

sagemaker:DescribeAppImageConfig

arn:aws:sagemaker:region:account-id:app-image-config/appImageConfigName

DescribeDomain

sagemaker:DescribeDomain

arn:aws:sagemaker:region:account-id:domain/domainId

DescribeEndpoint

sagemaker:DescribeEndpoint

arn:aws:sagemaker:region:account-id:endpoint/endpointName

DescribeEndpointConfig

sagemaker:DescribeEndpointConfig

arn:aws:sagemaker:region:account-id:endpoint-config/endpointConfigName

DescribeFlowDefinition

sagemaker:DescribeFlowDefinition

arn:aws:sagemaker:region:account-id:flow-definition/flowDefinitionName

DescribeHumanLoop

sagemaker:DescribeHumanLoop

arn:aws:sagemaker:region:account-id:human-loop/humanLoopName

DescribeHumanTaskUi

sagemaker:DescribeHumanTaskUi

arn:aws:sagemaker:region:account-id:human-task-ui/humanTaskUiName

DescribeHyperParameterTuningJob

sagemaker:DescribeHyperParameterTuningJob

arn:aws:sagemaker:region:account-id:hyper-parameter-tuning-job/hyperParameterTuningJob

DescribeImage

sagemaker:DescribeImage

arn:aws:sagemaker:region:account-id:image/imageName

DescribeImageVersion

sagemaker:DescribeImageVersion

arn:aws:sagemaker:region:account-id:image-version/imageName/versionNumber

DescribeLabelingJob

sagemaker:DescribeLabelingJob

arn:aws:sagemaker:region:account-id:labeling-job/labelingJobName

DescribeModel

sagemaker:DescribeModel

arn:aws:sagemaker:region:account-id:model/modelName

DescribeModelPackage

sagemaker:DescribeModelPackage

arn:aws:sagemaker:region:account-id:model-package/modelPackageName

DescribeModelPackageGroup

sagemaker:DescribeModelPackageGroup

arn:aws:sagemaker:region:account-id:model-package-group/modelPackageGroupName

DescribeNotebookInstance

sagemaker:DescribeNotebookInstance

arn:aws:sagemaker:region:account-id:notebook-instance/notebookInstanceName

DescribePipeline

sagemaker:DescribePipeline

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name

DescribePipelineDefinitionForExecution

sagemaker:DescribePipelineDefinitionForExecution

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name/execution/execution-id

DescribePipelineExecution

sagemaker:DescribePipelineExecution

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name/execution/execution-id

DescribeProcessingJob

sagemaker:DescribeProcessingJob

arn:aws:sagemaker:region:account-id:processing-job/processingjobname

DescribeSubscribedWorkteam

sagemaker:DescribeSubscribedWorkteam

aws-marketplace:ViewSubscriptions

arn:aws:sagemaker:region:account-id:workteam/vendor-crowd/*

DescribeTrainingJob

sagemaker:DescribeTrainingJob

arn:aws:sagemaker:region:account-id:training-job/trainingjobname

DescribeTransformJob

sagemaker:DescribeTransformJob

arn:aws:sagemaker:region:account-id:transform-job/transformjobname

DescribeUserProfile

sagemaker:DescribeUserProfile

arn:aws:sagemaker:region:account-id:user-profile/domain-id/userProfileName

DescribeWorkforce

sagemaker:DescribeWorkforce

arn:aws:sagemaker:region:account-id:workforce/*

DescribeWorkteam

sagemaker:DescribeWorkteam

arn:aws:sagemaker:region:account-id:workteam/private-crowd/*

GetModelPackageGroupPolicy

sagemaker:GetModelPackageGroupPolicy

arn:aws:sagemaker:region:account-id:model-package-group/modelPackageGroupName

InvokeEndpoint

sagemaker:InvokeEndpoint

arn:aws:sagemaker:region:account-id:endpoint/endpointName

ListAppImageConfigs

sagemaker:ListAppImageConfigs

arn:aws:sagemaker:region:account-id:app-image-config/*

ListApps

sagemaker:ListApps

arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/*

ListDomains

sagemaker:ListDomains

arn:aws:sagemaker:region:account-id:domain/*

ListEndpointConfigs

sagemaker:ListEndpointConfigs

*

ListEndpoints

sagemaker:ListEndpoints

*

ListFlowDefinitions

sagemaker:ListFlowDefinitions

*

ListHumanLoops

sagemaker:ListHumanLoops

*

ListHumanTaskUis

sagemaker:ListHumanTaskUis

*

ListHyperParameterTuningJobs

sagemaker:ListHyperParameterTuningJobs

arn:aws:sagemaker:region:account-id:hyper-parameter-tuning-job/hyperParameterTuningJob

ListImages

sagemaker:ListImages

*

ListImageVersions

sagemaker:ListImageVersions

arn:aws:sagemaker:region:account-id:image/*

ListLabelingJobs

sagemaker:ListLabelingJobs

*

ListLabelingJobsForWorkteam

sagemaker:ListLabelingJobForWorkteam

*

ListModelPackageGroups

sagemaker:ListModelPackageGroups

arn:aws:sagemaker:region:account-id :model-package-group/ModelPackageGroupName

ListModelPackages

sagemaker:ListModelPackages

arn:aws:sagemaker:region:account-id :model-package/ModelPackageName

ListModels

sagemaker:ListModels

*

ListNotebookInstances

sagemaker:ListNotebookInstances

*

ListPipelineExecutions

sagemaker:ListPipelineExecutions

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name

ListPipelineExecutionSteps

sagemaker:ListPipelineExecutionSteps

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name/execution/execution-id

ListPipelineParametersForExecution

sagemaker:ListPipelineParametersForExecution

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name/execution/execution-id

ListPipelines

sagemaker:ListPipelines

*

ListProcessingJobs

sagemaker:ListProcessingJobs

*

ListSubscribedWorkteams

sagemaker:ListSubscribedWorkteams

aws-marketplace:ViewSubscriptions

*

ListTags

sagemaker:ListTags

arn:aws:sagemaker:region:account-id:*

ListTrainingJobs

sagemaker:ListTrainingJobs

*

ListTrainingJobsForHyperParameterTuningJob

sagemaker:ListTrainingJobsForHyperParameterTuningJob

arn:aws:sagemaker:region:account-id:hyper-parameter-tuning-job/hyperParameterTuningJob

ListTransformJobs

sagemaker:ListTransformJobs

*

ListUserProfiles

sagemaker:ListUserProfiles

arn:aws:sagemaker:region:account-id:user-profile/domain-id/*

ListWorkforces

sagemaker:ListWorkforces

*

ListWorkteams

sagemaker:ListWorkteams

*

PutModelPackageGroupPolicy

sagemaker:PutModelPackageGroupPolicy

arn:aws:sagemaker:region:account-id:model-package-group/modelPackageGroupName

RetryPipelineExecution

sagemaker:RetryPipelineExecution

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name/execution/execution-id

SendPipelineExecutionStepFailure

sagemaker:SendPipelineExecutionStepFailure

*

SendPipelineExecutionStepSuccess

sagemaker:SendPipelineExecutionStepSuccess

*

StartHumanLoop

sagemaker:StartHumanLoop

arn:aws:sagemaker:region:account-id:human-loop/humanLoopName

StartNotebookInstance

sagemaker:StartNotebookInstance

iam:PassRole

Les autorisations suivantes sont requises uniquement si vous avez spécifié un VPC lors de la création de votre instance de bloc-notes :

ec2:CreateNetworkInterface

ec2:DescribeNetworkInterfaces

ec2:DescribeSecurityGroups

ec2:DescribeSubnets

ec2:DescribeVpcs

L'autorisation suivante est requise uniquement si vous spécifiez un VPC et un accélérateur d'inférence Elastic pour votre instance de bloc-notes :

ec2:DescribeVpcEndpoints

Les autorisations suivantes sont requises uniquement si vous avez spécifié une clé de chiffrement lors de la création de l'instance de bloc-notes :

kms:DescribeKey

kms:CreateGrant

L'autorisation suivante est requise uniquement si vous avez spécifié un secret AWS Secrets Manager pour accéder à un référentiel Git privé lors de la création de l'instance de bloc-notes :

secretsmanager:GetSecretValue

arn:aws:sagemaker:region:account-id:notebook-instance/notebookInstanceName

StartPipelineExecution

sagemaker:StartPipelineExecution

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name

StopHumanLoop

sagemaker:StopHumanLoop

arn:aws:sagemaker:region:account-id:human-loop/humanLoopName

StopHyperParameterTuningJob

sagemaker:StopHyperParameterTuningJob

arn:aws:sagemaker:region:account-id:hyper-parameter-tuning-job/hyperParameterTuningJob

StopLabelingJob

sagemaker:StopLabelingJob

arn:aws:sagemaker:region:account-id:labeling-job/labelingJobName

StopNotebookInstance

sagemaker:StopNotebookInstance

arn:aws:sagemaker:region:account-id:notebook-instance/notebookInstanceName

StopPipelineExecution

sagemaker:StopPipelineExecution

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name/execution/execution-id

StopProcessingJob

sagemaker:StopProcessingJob

arn:aws:sagemaker:region:account-id:processing-job/processingJobName

StopTrainingJob

sagemaker:StopTrainingJob

arn:aws:sagemaker:region:account-id:training-job/trainingJobName

StopTransformJob

sagemaker:StopTransformJob

arn:aws:sagemaker:region:account-id:transform-job/transformJobName

UpdateAppImageConfig

sagemaker:UpdateAppImageConfig

arn:aws:sagemaker:region:account-id:app-image-config/appImageConfigName

UpdateDomain

sagemaker:UpdateDomain

arn:aws:sagemaker:region:account-id:domain/domainId

UpdateEndpoint

sagemaker:UpdateEndpoint

arn:aws:sagemaker:region:account-id:endpoint/endpointName

UpdateEndpointWeightsAndCapacities

sagemaker:UpdateEndpointWeightsAndCapacities

arn:aws:sagemaker:region:account-id:endpoint/endpointName

UpdateImage

sagemaker:UpdateImage

iam:PassRole

arn:aws:sagemaker:region:account-id:image/imageName

UpdateModelPackage

sagemaker:UpdateModelPackage

arn:aws:sagemaker:region:account-id:model-package/modelPackageName

UpdateNotebookInstance

sagemaker:UpdateNotebookInstance

iam:PassRole

arn:aws:sagemaker:region:account-id:notebook-instance/notebookInstanceName

UpdatePipeline

sagemaker:UpdatePipeline

iam:PassRole

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name

arn:aws-partition:iam::account-id:role/role-name

UpdatePipelineExecution

sagemaker:UpdatePipelineExecution

arn:aws-partition:sagemaker:region:account-id:pipeline/pipeline-name/execution/execution-id

UpdateUserProfile

sagemaker:UpdateUserProfile

arn:aws:sagemaker:region:account-id:user-profile/domain-id/userProfileName

UpdateWorkforce

sagemaker:UpdateWorkforce

arn:aws:sagemaker:region:account-id:workforce/*

UpdateWorkteam

sagemaker:UpdateWorkteam

arn:aws:sagemaker:region:account-id:workteam/private-crowd/*