Siapkan kluster Amazon EKS di Studio

Petunjuk berikut menjelaskan cara menyiapkan kluster Amazon EKS di Studio.

1. Buat domain atau siapkan satu. Untuk informasi tentang membuat domain, lihatPanduan untuk mengatur dengan Amazon SageMaker AI.

2. Tambahkan izin berikut ke peran eksekusi Anda.

   Untuk informasi tentang peran eksekusi SageMaker AI dan cara mengeditnya, lihatMemahami izin ruang domain dan peran eksekusi.

   Untuk mempelajari cara melampirkan kebijakan ke pengguna atau grup IAM, lihat Menambahkan dan menghapus izin identitas IAM.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "DescribeHyerpodClusterPermissions",
               "Effect": "Allow",
               "Action": [
                   "sagemaker:DescribeCluster"
               ],
               "Resource": "hyperpod-cluster-arn"
           },
           {
               "Effect": "Allow",
               "Action": "ec2:Describe*",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ecr:CompleteLayerUpload",
                   "ecr:GetAuthorizationToken",
                   "ecr:UploadLayerPart",
                   "ecr:InitiateLayerUpload",
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:PutImage"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
                   "Action": [
                       "cloudwatch:PutMetricData",
                       "cloudwatch:GetMetricData"
                       ],
               "Resource": "*"
           },
           {
               "Sid": "UseEksClusterPermissions",
               "Effect": "Allow",
               "Action": [
                   "eks:DescribeCluster",
                   "eks:AccessKubernetesApi",
                   "eks:DescribeAddon"
               ],
               "Resource": "eks-cluster-arn"
           },
           {
               "Sid": "ListClustersPermission",
               "Effect": "Allow",
               "Action": [
                   "sagemaker:ListClusters"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:StartSession",
                   "ssm:TerminateSession"
               ],
               "Resource": "*"
           }
       ]
   }

3. Berikan akses kepada pengguna IAM ke Kubernetes dengan entri akses EKS.

   1. Arahkan ke klaster Amazon EKS yang terkait dengan HyperPod cluster Anda.

   2. Pilih tab Access dan buat entri akses untuk peran eksekusi yang Anda buat.

      1. Pada langkah 1, Pilih peran eksekusi yang Anda buat di atas di dropdown utama IAM.

      2. Pada langkah 2, pilih nama kebijakan dan pilih cakupan akses yang Anda inginkan agar pengguna dapat mengaksesnya.

4. (Opsional) Untuk memastikan pengalaman yang lebih lancar, kami sarankan Anda menambahkan tag ke cluster Anda. Untuk informasi tentang cara menambahkan tag, lihat Mengedit SageMaker HyperPod klaster untuk memperbarui klaster Anda menggunakan konsol SageMaker AI.

   1. Tandai ruang kerja Grafana Terkelola Amazon Anda ke domain Studio Anda. Ini akan digunakan untuk menautkan dengan cepat ke ruang kerja Grafana Anda langsung dari cluster Anda di Studio. Untuk melakukannya, tambahkan tag berikut ke cluster Anda untuk mengidentifikasinya dengan ID ruang kerja Grafana Anda,. ws-id

      Kunci Tag = “grafana-workspace”, Nilai Tag = “ws-id”.

5. (Opsional)Batasi tampilan tugas di Studio untuk kluster EKS. Untuk informasi tentang tugas yang dapat dilihat di Studio, lihatTugas.

Batasi tampilan tugas di Studio untuk kluster EKS

Anda dapat membatasi izin namespace Kubernetes untuk pengguna, sehingga mereka hanya akan memiliki akses untuk melihat tugas milik namespace tertentu. Berikut ini memberikan informasi tentang cara membatasi tampilan tugas di Studio untuk kluster EKS. Untuk informasi tentang tugas yang dapat dilihat di Studio, lihatTugas.

Pengguna akan memiliki visibilitas ke semua tugas cluster EKS secara default. Anda dapat membatasi visibilitas pengguna untuk tugas kluster EKS ke ruang nama tertentu, memastikan bahwa pengguna dapat mengakses sumber daya yang mereka butuhkan sambil mempertahankan kontrol akses yang ketat. Anda harus menyediakan namespace bagi pengguna untuk menampilkan pekerjaan dari namespace itu setelah yang berikut ini disiapkan.

Setelah pembatasan diterapkan, Anda harus memberikan namespace kepada pengguna yang mengambil peran tersebut. Studio hanya akan menampilkan pekerjaan namespace setelah pengguna memberikan masukan namespace mereka memiliki izin untuk melihat di tab Tugas.

Konfigurasi berikut memungkinkan administrator untuk memberikan akses spesifik dan terbatas ke ilmuwan data untuk melihat tugas dalam cluster. Konfigurasi ini memberikan izin berikut:

• Daftar dan dapatkan pod

• Daftar dan dapatkan acara

• Dapatkan Definisi Sumber Daya Kustom (CRDs)

Konfigurasi YAMM

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: pods-events-crd-cluster-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list"]
- apiGroups: [""]
  resources: ["events"]
  verbs: ["get", "list"]
- apiGroups: ["apiextensions.k8s.io"]
  resources: ["customresourcedefinitions"]
  verbs: ["get"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: pods-events-crd-cluster-role-binding
subjects:
- kind: Group
  name: pods-events-crd-cluster-level
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: pods-events-crd-cluster-role
  apiGroup: rbac.authorization.k8s.io

1. Simpan konfigurasi YAMM ke file bernamacluster-role.yaml.

2. Terapkan konfigurasi menggunakan kubectl:

   kubectl apply -f cluster-role.yaml

3. Verifikasi konfigurasi:

   kubectl get clusterrole pods-events-crd-cluster-role
   kubectl get clusterrolebinding pods-events-crd-cluster-role-binding

4. Tetapkan pengguna ke pods-events-crd-cluster-level grup melalui penyedia identitas atau IAM Anda.