Importazione di un modello personalizzato da un altro Account AWS

In Amazon Comprehend, puoi importare un modello personalizzato che si trova in un altro. Account AWS Quando importi un modello, crei un nuovo modello personalizzato nel tuo account. Il tuo nuovo modello personalizzato è un duplicato completamente addestrato del modello che hai importato.

Prima di iniziare

Prima di poter importare un modello personalizzato da un altroAccount AWS, assicuratevi che la persona che ha condiviso il modello con voi esegua le seguenti operazioni:

• Ti autorizza a eseguire l'importazione. Questa autorizzazione è concessa nella politica basata sulle risorse allegata alla versione del modello. Per ulteriori informazioni, consulta Politiche basate sulle risorse per modelli personalizzati.

• Fornisce le seguenti informazioni:

  • L'Amazon Resource Name (ARN) della versione del modello.

  • Il Regione AWS che contiene il modello. È necessario utilizzare lo stesso Regione AWS durante l'importazione.

  • Se il modello è crittografato con una AWS KMS chiave e, in caso affermativo, il tipo di chiave utilizzata.

Se il modello è crittografato, potrebbe essere necessario eseguire ulteriori passaggi, a seconda del tipo di chiave KMS utilizzata:

• Chiave di proprietà di AWS— Questo tipo di chiave KMS è di proprietà e gestito da. AWS Se il modello è crittografato con unChiave di proprietà di AWS, non sono necessari passaggi aggiuntivi.

• Chiave gestita dal cliente: questo tipo di chiave KMS viene creata, posseduta e gestita da un AWS cliente nel proprioAccount AWS. Se il modello è crittografato con una chiave gestita dal cliente, la persona che ha condiviso il modello deve:

  • Ti autorizza a decrittografare il modello. Questa autorizzazione è concessa nella politica delle chiavi KMS per la chiave gestita dal cliente. Per ulteriori informazioni, consulta AWS KMSdichiarazione politica chiave.

  • Fornisci l'ARN della chiave gestita dal cliente. Utilizzi questo ARN quando crei un ruolo di servizio IAM. Questo ruolo autorizza Amazon Comprehend a utilizzare la chiave KMS per decrittografare il modello.

Autorizzazioni richieste

Prima di poter importare un modello personalizzato, tu o il tuo amministratore dovete autorizzare le azioni richieste in (IAM). AWS Identity and Access Management In qualità di utente Amazon Comprehend, devi essere autorizzato all'importazione tramite una dichiarazione di policy IAM. Se durante l'importazione è richiesta la crittografia o la decrittografia, Amazon Comprehend deve essere autorizzato a utilizzare le chiavi necessarie. AWS KMS

Dichiarazione sulla politica IAM

L'utente, il gruppo o il ruolo devono avere una policy allegata che consenta l'ImportModelazione, come mostrato nell'esempio seguente.

Esempio Politica IAM per importare un modello personalizzato

{ 
  "Effect": "Allow",
  "Action": [
    "comprehend:ImportModel"
  ],
  "Resource": "arn:aws:comprehend:us-west-2:111122223333:document-classifier/foo/version/*"
}

Per informazioni sulla creazione di una policy IAM, consulta Creating IAM policies nella IAM User Guide. Per informazioni su come allegare una policy IAM, consulta Aggiungere e rimuovere le autorizzazioni di identità IAM nella Guida per l'utente IAM.

Ruolo del servizio IAM per la crittografia AWS KMS

Quando importi un modello personalizzato, devi autorizzare Amazon Comprehend a AWS KMS utilizzare le chiavi in uno dei seguenti casi:

• Stai importando un modello personalizzato crittografato con una chiave gestita dal cliente. AWS KMS In questo caso, Amazon Comprehend deve accedere alla chiave KMS in modo da poter decrittografare il modello durante l'importazione.

• Vuoi crittografare il nuovo modello personalizzato che crei con l'importazione e desideri utilizzare una chiave gestita dal cliente. In questo caso, Amazon Comprehend deve accedere alla tua chiave KMS per crittografare il nuovo modello.

Per autorizzare Amazon Comprehend a utilizzare AWS KMS queste chiavi, crei un ruolo di servizio IAM. Questo tipo di ruolo IAM consente a un AWS servizio di accedere alle risorse di altri servizi per tuo conto. Per ulteriori informazioni sui ruoli di servizio, consulta Creazione di un ruolo per delegare le autorizzazioni a un AWS servizio nella Guida per l'utente IAM.

Se utilizzi la console Amazon Comprehend per l'importazione, puoi fare in modo che Amazon Comprehend crei il ruolo di servizio per te. Altrimenti, devi creare un ruolo di servizio in IAM prima di importarlo.

Il ruolo di servizio IAM deve avere una politica di autorizzazioni e una politica di fiducia, come illustrato dai seguenti esempi.

Esempio policy di autorizzazioni

La seguente politica di autorizzazioni consente le AWS KMS operazioni utilizzate da Amazon Comprehend per crittografare e decrittografare modelli personalizzati. Garantisce l'accesso a due chiavi KMS:

• Una chiave KMS contiene il modello Account AWS da importare. È stato utilizzato per crittografare il modello e Amazon Comprehend lo utilizza per decrittografare il modello durante l'importazione.

• L'altra chiave KMS si trova nella chiave che importa il Account AWS modello. Amazon Comprehend utilizza questa chiave per crittografare il nuovo modello personalizzato creato dall'importazione.

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Effect": "Allow",
        "Action": [
            "kms:CreateGrant"
        ],
        "Resource": [
            "arn:aws:kms:us-west-2:111122223333:key/key-id",
            "arn:aws:kms:us-west-2:444455556666:key/key-id"
        ]
    },
    {
        "Effect": "Allow",
        "Action": [
            "kms:Decrypt",
            "kms:GenerateDatakey"
        ],
        "Resource": [
            "arn:aws:kms:us-west-2:111122223333:key/key-id",
            "arn:aws:kms:us-west-2:444455556666:key/key-id"
        ],
        "Condition": {
            "StringEquals": {
                "kms:ViaService": [
                    "s3.us-west-2.amazonaws.com"
                ]
            }
        }
    }
  ]
}

Esempio policy di attendibilità

La seguente politica di fiducia consente ad Amazon Comprehend di assumere il ruolo e ottenere le relative autorizzazioni. Consente al responsabile del comprehend.amazonaws.com servizio di eseguire l'sts:AssumeRoleoperazione. Per agevolare la prevenzione della confusione, è possibile limitare l'ambito dell'autorizzazione utilizzando una o più chiavi di contesto relative alla condizione globale. Peraws:SourceAccount, specifica l'ID dell'account dell'utente che sta importando il modello.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "comprehend.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "444455556666"  
        }
      }
    }
  ]
}

Importazione di un modello personalizzato

Puoi importare un modello personalizzato utilizzando l'API AWS Management ConsoleAWS CLI, o Amazon Comprehend.

AWS Management Console

Puoi usare Amazon Comprehend in. AWS Management Console

Per importare un modello personalizzato

1. Accedi AWS Management Console e apri la console Amazon Comprehend all'indirizzo https://console.aws.amazon.com/comprehend/

2. Nel menu di navigazione a sinistra, in Personalizzazione, scegli la pagina per il tipo di modello che stai importando:

   1. Se stai importando un classificatore di documenti personalizzato, scegli Classificazione personalizzata.

   2. Se stai importando un riconoscimento di entità personalizzato, scegli Riconoscimento di entità personalizzato.

3. Scegli Importa versione.

4. Nella pagina Importa la versione del modello, inserisci i seguenti dettagli:

   • ARN della versione del modello: l'ARN della versione del modello da importare.

   • Nome modello: nome personalizzato per il nuovo modello creato dall'importazione.

   • Nome della versione: un nome personalizzato per la nuova versione del modello creata dall'importazione.

5. Per la crittografia del modello, scegli il tipo di chiave KMS da utilizzare per crittografare il nuovo modello personalizzato creato con l'importazione:

   • Usa chiave AWS proprietaria: Amazon Comprehend crittografa il tuo modello utilizzando una chiave in AWS Key Management Service (AWS KMS) creata, gestita e utilizzata per tuo conto da. AWS

   • Scegli una AWS KMS chiave diversa (avanzata): Amazon Comprehend crittografa il tuo modello utilizzando una chiave gestita dal cliente che gestisci tu stesso. AWS KMS

     Se scegli questa opzione, seleziona una chiave KMS che hai o Account AWS creane una nuova scegliendo Crea una chiave. AWS KMS

6. Nella sezione Accesso al servizio, concedi ad Amazon Comprehend l'accesso a tutte AWS KMS le chiavi necessarie per:

   • Decrittografa il modello personalizzato che importi.

   • Crittografa il nuovo modello personalizzato creato con l'importazione.

   Concedi l'accesso con un ruolo di servizio IAM che consente ad Amazon Comprehend di utilizzare le chiavi KMS.

   Per il ruolo di servizio, esegui una delle seguenti operazioni:

   • Se disponi di un ruolo di servizio esistente che desideri utilizzare, scegli Usa un ruolo IAM esistente. Quindi, selezionalo in Nome del ruolo.

   • Se desideri che Amazon Comprehend crei un ruolo per te, scegli Crea un ruolo IAM.

7. Se hai scelto Amazon Comprehend di creare il ruolo per te, procedi come segue:

   1. Per Nome del ruolo, inserisci un suffisso per il nome del ruolo che ti aiuterà a riconoscere il ruolo in un secondo momento.

   2. Per ARN della chiave KMS di origine, inserisci l'ARN della chiave KMS utilizzata per crittografare il modello che stai importando. Amazon Comprehend utilizza questa chiave per decrittografare il modello durante l'importazione.

8. (Facoltativo) Nella sezione Tag, puoi aggiungere tag al nuovo modello personalizzato che crei mediante importazione. Per ulteriori informazioni sull'etichettatura dei modelli personalizzati, consulta. Taggare una nuova risorsa

9. Scegli Conferma.

AWS CLI

Puoi usare Amazon Comprehend eseguendo comandi con. AWS CLI

Esempio Comando Import-model

Per importare un modello personalizzato, usa il import-model comando:

$ aws comprehend import-model \
> --source-model arn:aws:comprehend:us-west-2:111122223333:document-classifier/foo/version/bar \
> --model-name importedDocumentClassifier \
> --version-name versionOne \
> --data-access-role-arn arn:aws:iam::444455556666:role/comprehendAccessRole \
> --model-kms-key-id kms-key-id

Questo esempio utilizza i seguenti parametri:

• source-model— L'ARN del modello personalizzato da importare.

• model-name— Un nome personalizzato per il nuovo modello creato dall'importazione.

• version-name— Un nome personalizzato per la nuova versione del modello creata dall'importazione.

• data-access-role-arn— L'ARN del ruolo del servizio IAM che consente ad Amazon Comprehend di utilizzare le chiavi AWS KMS necessarie per crittografare o decrittografare il modello personalizzato.

• model-kms-key-id— L'ARN o l'ID della chiave KMS che Amazon Comprehend utilizza per crittografare il modello personalizzato creato con questa importazione. Questa chiave deve essere inserita nel tuo. AWS KMS Account AWS

API Amazon Comprehend

Per importare un modello personalizzato utilizzando l'API Amazon Comprehend, utilizza l'azione ImportModelAPI.