AWSKebijakan Terkelola untuk SageMaker Saluran Pipa

Kebijakan AWS terkelola ini menambahkan izin yang diperlukan untuk menggunakan SageMaker Pipelines. Kebijakan tersedia di AWS akun Anda dan digunakan oleh peran eksekusi yang dibuat dari SageMaker konsol.

AWSkebijakan terkelola: AmazonSageMakerPipelinesIntegrations

Kebijakan AWS terkelola ini memberikan izin yang biasanya diperlukan untuk menggunakan langkah Callback dan langkah Lambda di Pipelines. SageMaker Kebijakan ditambahkan ke kebijakan AmazonSageMaker-ExecutionRole yang dibuat saat Anda onboard ke Amazon SageMaker Studio Classic. Kebijakan dapat dilampirkan ke peran apa pun yang digunakan untuk membuat atau mengeksekusi pipeline.

Kebijakan ini memberikan izin AWS Lambda, Amazon Simple Queue Service (Amazon SQS), EventBridge Amazon, dan IAM yang sesuai yang diperlukan saat membuat pipeline yang menjalankan fungsi Lambda atau menyertakan langkah panggilan balik, yang dapat digunakan untuk langkah persetujuan manual atau menjalankan beban kerja khusus.

Izin Amazon SQS memungkinkan Anda membuat antrean Amazon SQS yang diperlukan untuk menerima pesan panggilan balik, dan juga untuk mengirim pesan ke antrean tersebut.

Izin Lambda memungkinkan Anda membuat, membaca, memperbarui, dan menghapus fungsi Lambda yang digunakan dalam langkah-langkah pipeline, dan juga untuk menjalankan fungsi Lambda tersebut.

Kebijakan ini memberikan izin EMR Amazon yang diperlukan untuk menjalankan langkah EMR Amazon pipeline.

Detail izin

Kebijakan ini mencakup izin berikut.

• elasticmapreduce— Baca, tambahkan, dan batalkan langkah-langkah di klaster EMR Amazon yang sedang berjalan. Baca, buat, dan akhiri cluster EMR Amazon baru.

• events— Baca, buat, perbarui, dan tambahkan target ke EventBridge aturan bernama SageMakerPipelineExecutionEMRStepStatusUpdateRule danSageMakerPipelineExecutionEMRClusterStatusUpdateRule.

• iam— Lulus peran IAM ke layanan AWS Lambda, Amazon EMR, dan Amazon EC2.

• lambda— Buat, baca, perbarui, hapus, dan panggil fungsi Lambda. Izin ini terbatas pada fungsi yang namanya termasuk “sagemaker”.

• sqs— Buat antrian Amazon SQS; kirim pesan Amazon SQS. Izin ini terbatas pada antrian yang namanya termasuk “pembuat sagemaker”.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lambda:CreateFunction",
                "lambda:DeleteFunction",
                "lambda:GetFunction",
                "lambda:InvokeFunction",
                "lambda:UpdateFunctionCode"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*sagemaker*",
                "arn:aws:lambda:*:*:function:*sageMaker*",
                "arn:aws:lambda:*:*:function:*SageMaker*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sqs:CreateQueue",
                "sqs:SendMessage"
            ],
            "Resource": [
                "arn:aws:sqs:*:*:*sagemaker*",
                "arn:aws:sqs:*:*:*sageMaker*",
                "arn:aws:sqs:*:*:*SageMaker*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "lambda.amazonaws.com",
                        "elasticmapreduce.amazonaws.com",
                        "ec2.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:PutRule",
                "events:PutTargets"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/SageMakerPipelineExecutionEMRStepStatusUpdateRule",
                "arn:aws:events:*:*:rule/SageMakerPipelineExecutionEMRClusterStatusUpdateRule"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:AddJobFlowSteps",
                "elasticmapreduce:CancelSteps",
                "elasticmapreduce:DescribeStep",
                "elasticmapreduce:RunJobFlow",
                "elasticmapreduce:DescribeCluster",
                "elasticmapreduce:TerminateJobFlows",
                "elasticmapreduce:ListSteps"
            ],
            "Resource": [
                "arn:aws:elasticmapreduce:*:*:cluster/*"
            ]
        }
    ]
}

Amazon SageMaker memperbarui kebijakan terkelola SageMaker Pipelines

Lihat detail tentang pembaruan terhadap kebijakan AWS terkelola untuk Amazon SageMaker karena layanan ini mulai melacak perubahan-perubahan tersebut.

Kebijakan	Versi	Perubahan	Tanggal
AmazonSageMakerPipelinesIntegrations - Pembaruan ke kebijakan yang tersedia	3	Menambahkan izin untukelasticmapreduce:RunJobFlows,, elasticmapreduce:TerminateJobFlowselasticmapreduce:ListSteps, danelasticmapreduce:DescribeCluster.	17 Februari 2023
AmazonSageMakerPipelinesIntegrations - Pembaruan ke kebijakan yang tersedia	2	Menambahkan izin untuklambda:GetFunction,events:DescribeRule,,events:PutRule,events:PutTargets, elasticmapreduce:AddJobFlowStepselasticmapreduce:CancelSteps, danelasticmapreduce:DescribeStep.	20 April 2022
AmazonSageMakerPipelinesIntegrations - Kebijakan baru	1	Kebijakan awal	30 Juli 2021