Partage de votre catalogue de groupes de fonctionnalités

Le catalogue de groupes de fonctionnalités, DefaultFeatureGroupCatalog, contient toutes les entités de groupe de fonctionnalités détenues par le compte propriétaire des ressources. Le catalogue peut être partagé par le compte du propriétaire de la ressource afin de permettre la découverte à un ou plusieurs comptes de consommateurs de ressources. Cela se fait en créant un partage de ressources dans AWS Resource Access Manager (AWS RAM). Un groupe de fonctionnalités est la principale ressource d'Amazon SageMaker Feature Store. Il est composé de définitions de fonctionnalités et d'enregistrements gérés par le Feature Store. Pour en savoir plus sur les groupes de fonctionnalités, consultez Concepts liés à Feature Store.

La découvrabilité signifie que les comptes consommateurs de ressources peuvent rechercher les ressources découvrables. Les ressources détectables sont affichées comme si elles se trouvaient dans leur propre compte (à l'exception des balises). Lorsque vous autorisez la découverte du catalogue de groupes de fonctionnalités, les comptes consommateurs de ressources ne disposent par défaut d'aucune autorisation d'accès (de lecture seule, de lecture-écriture ou d'administration). Les autorisations d'accès sont accordées au niveau d'une ressource et non au niveau du compte. Pour en savoir plus sur la façon d'accorder des autorisations d'accès, consultez Activation de l'accès intercompte.

Pour activer la découvrabilité entre comptes, vous devez spécifier le catalogue de SageMaker ressources et le catalogue de groupes de fonctionnalités en suivant les instructions de AWS RAM création d'un partage de ressources figurant dans le guide du AWS RAM développeur. Dans ce qui suit, nous donnons les spécifications d'utilisation des instructions de la AWS RAM console.

1. Spécifiez les détails du partage de ressources :

   • Type de ressource : Choisissez Catalogues de SageMaker ressources.

   • ARN: Choisissez le catalogue de groupes d'entités ARN au format suivant : arn:aws:sagemaker:us-east-1:111122223333:sagemaker-catalog/DefaultFeatureGroupCatalog

     us-east-1 est la région de la ressource et 111122223333 est l'ID de compte du propriétaire de la ressource.

   • ID de ressource : choisissez DefaultFeatureGroupCatalog.

2. Associez les autorisations gérées :

   • Autorisation gérée : choisissez AWSRAMPermissionSageMakerCatalogResourceSearch.

3. Accordez l'accès aux principaux :

   • Choisissez les types de principaux (Compte AWS, organisation ou unité organisationnelle) et entrez l'ID approprié.

     Si vous êtes une organisation, vous voudrez peut-être en profiter AWS Organizations. Avec Organizations, vous pouvez partager des ressources avec des individus Comptes AWS, avec tous les comptes de votre organisation ou avec une unité organisationnelle (UO). Cela simplifie l'application des autorisations, sans qu'il soit nécessaire d'appliquer des autorisations à chaque compte. Pour plus d'informations sur le partage de vos ressources et l'octroi d'autorisations au sein de celles-ci AWS, voir Activer le partage des ressources AWS Organizations dans le Guide du AWS Resource Access Manager développeur.

4. Vérifiez et créez :

   • Vérifiez, puis choisissez Créer un partage de ressources.

Les associations peuvent prendre quelques minutes entre le partage de ressources et le principal, ou le compte consommateur de ressources. Une fois que les associations entre le partage de ressources et le principal ont été définies, les comptes consommateurs de ressources spécifiés reçoivent une invitation à rejoindre le partage de ressources. Les comptes consommateurs de ressources peuvent consulter et accepter les invitations en ouvrant la page Shared with me : Resource shares dans la AWS RAM console. Pour plus d'informations sur l'acceptation et l'affichage des ressources dans AWS RAM, voir Accéder aux AWS ressources partagées avec vous. Les invitations ne sont pas envoyées dans les cas suivants :

• Si vous faites partie d'une organisation AWS Organizations et que le partage au sein de votre organisation est activé. Dans ce cas, les responsables de l'organisation ont automatiquement accès aux ressources partagées sans invitation.

• Si vous partagez avec Compte AWS le propriétaire de la ressource, les principaux de ce compte ont automatiquement accès aux ressources partagées sans invitation.

Pour plus d'informations sur l'acceptation et l'utilisation d'un partage de ressources, consultez Recherche de ressources découvrables.

Partagez le catalogue des groupes de fonctionnalités à l'aide du AWS SDK for Python (Boto3)

Vous pouvez utiliser le AWS SDK for Python (Boto3) for AWS RAM APIs pour créer un partage de ressources. Le code suivant est un exemple d'identifiant de compte du propriétaire d'une ressource 111122223333 au sein de la région us-east-1. Le propriétaire de la ressource est en train de créer un partage de ressources nommé test-cross-account-catalog. Ils partagent le catalogue des groupes de fonctionnalités avec l'ID de compte du consommateur de ressources. 444455556666. Pour utiliser le Python SDK pour AWS RAM APIs, associez la AWSRAMPermissionSageMakerCatalogResourceSearch politique au rôle d'exécution. Pour plus d’informations, consultez AWS RAM APIs.

#Call list resource catalogs as a prerequisite for RAM share
sagemaker_client.list_resource_catalogs()

# Share DefaultFeatureGroupCatalog with other account
ram_client = boto3.client("ram")
response = ram_client.create_resource_share(
    name='test-cross-account-catalog', # Change to your custom resource share name
    resourceArns=[
        'arn:aws:sagemaker:us-east-1:111122223333:sagemaker-catalog/' + 'DefaultFeatureGroupCatalog', # Change 111122223333 to the resource owner account ID
    ],
    principals=[
        '444455556666', # Change 444455556666 to the resource consumer account ID
    ],
    permissionArns = ["arn:aws:ram::aws:permission/AWSRAMPermissionSageMakerCatalogResourceSearch"] # AWSRAMPermissionSageMakerCatalogResourceSearch is the only policy allowed for SageMaker Catalog
)

Les principaux sont des acteurs dans un système de sécurité. Dans une politique basée sur les ressources, les principaux autorisés sont les IAM utilisateurs, les IAM rôles, le compte root ou un autre service. AWS