AWS politica gestita: AmazonDataZoneSageMakerAccess

Questa politica concede ad Amazon DataZone le autorizzazioni per pubblicare SageMaker risorse Amazon nel catalogo. Fornisce inoltre ad Amazon DataZone le autorizzazioni per concedere l'accesso o revocare l'accesso alle risorse SageMaker pubblicate da Amazon nel catalogo.

Questa policy include le autorizzazioni per eseguire le seguenti operazioni:

• cloudtrail: recupera informazioni sui sentieri. CloudTrail

• cloudwatch: recupera gli allarmi correnti. CloudWatch

• log: recupera i filtri metrici per i log. CloudWatch

• sns: recupera l'elenco delle sottoscrizioni a un argomento. SNS

• config: recupera informazioni su registratori di configurazione, risorse e AWS Regole di Config. Consente inoltre la creazione e l'eliminazione del ruolo collegato al servizio AWS Config le regole ed esegui valutazioni in base alle regole.

• iam: ottieni e genera report sulle credenziali per gli account.

• organizzazioni: recupera le informazioni sull'account e sull'unità organizzativa (OU) di un'organizzazione.

• securityhub: recupera informazioni su come sono configurati il servizio, gli standard e i controlli di Security Hub.

• tag: recupera informazioni sui tag delle risorse.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AmazonSageMakerReadPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:DescribeFeatureGroup",
				"sagemaker:ListModelPackages",
				"sagemaker:DescribeModelPackage",
				"sagemaker:DescribeModelPackageGroup",
				"sagemaker:DescribeAlgorithm",
				"sagemaker:ListTags",
				"sagemaker:DescribeDomain",
				"sagemaker:GetModelPackageGroupPolicy",
				"sagemaker:Search"
			],
			"Resource": "*"
		},
		{
			"Sid": "AmazonSageMakerTaggingPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:AddTags",
				"sagemaker:DeleteTags"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringLike": {
					"aws:TagKeys": [
						"sagemaker:shared-with:*"
					]
				}
			}
		},
		{
			"Sid": "AmazonSageMakerModelPackageGroupPolicyPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:PutModelPackageGroupPolicy",
				"sagemaker:DeleteModelPackageGroupPolicy"
			],
			"Resource": [
				"arn:*:sagemaker:*:*:model-package-group/*"
			]
		},
		{
			"Sid": "AmazonSageMakerRAMPermission",
			"Effect": "Allow",
			"Action": [
				"ram:GetResourceShares",
				"ram:GetResourceShareInvitations",
				"ram:GetResourceShareAssociations"
			],
			"Resource": "*"
		},
		{
			"Sid": "AmazonSageMakerRAMResourcePolicyPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:PutResourcePolicy",
				"sagemaker:GetResourcePolicy",
				"sagemaker:DeleteResourcePolicy"
			],
			"Resource": [
				"arn:*:sagemaker:*:*:feature-group/*"
			]
		},
		{
			"Sid": "AmazonSageMakerRAMTagResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:TagResource"
			],
			"Resource": "arn:*:ram:*:*:resource-share/*",
			"Condition": {
				"Null": {
					"aws:RequestTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerRAMDeleteResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:DeleteResourceShare"
			],
			"Resource": "arn:*:ram:*:*:resource-share/*",
			"Condition": {
				"Null": {
					"aws:ResourceTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerRAMCreateResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:CreateResourceShare"
			],
			"Resource": "*",
			"Condition": {
				"StringLikeIfExists": {
					"ram:RequestedResourceType": [
						"sagemaker:*"
					]
				},
				"Null": {
					"aws:RequestTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerS3BucketPolicyPermission",
			"Effect": "Allow",
			"Action": [
				"s3:DeleteBucketPolicy",
				"s3:PutBucketPolicy",
				"s3:GetBucketPolicy"
			],
			"Resource": [
				"arn:aws:s3:::sagemaker-datazone*",
				"arn:aws:s3:::SageMaker-DataZone*",
				"arn:aws:s3:::datazone-sagemaker*",
				"arn:aws:s3:::DataZone-SageMaker*",
				"arn:aws:s3:::amazon-datazone*"
			]
		},
		{
			"Sid": "AmazonSageMakerS3Permission",
			"Effect": "Allow",
			"Action": [
				"s3:GetObject",
				"s3:ListBucket"
			],
			"Resource": [
				"arn:aws:s3:::sagemaker-datazone*",
				"arn:aws:s3:::SageMaker-DataZone*",
				"arn:aws:s3:::datazone-sagemaker*",
				"arn:aws:s3:::DataZone-SageMaker*",
				"arn:aws:s3:::amazon-datazone*"
			]
		},
		{
			"Sid": "AmazonSageMakerECRPermission",
			"Effect": "Allow",
			"Action": [
				"ecr:GetRepositoryPolicy",
				"ecr:SetRepositoryPolicy",
				"ecr:DeleteRepositoryPolicy"
			],
			"Resource": "*",
			"Condition": {
				"Null": {
					"aws:ResourceTag/AmazonDataZoneEnvironment": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerKMSReadPermission",
			"Effect": "Allow",
			"Action": [
				"kms:DescribeKey"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:TagKeys": [
						"AmazonDataZoneEnvironment"
					]
				}
			}
		},
		{
			"Sid": "AmazonSageMakerKMSGrantPermission",
			"Effect": "Allow",
			"Action": [
				"kms:CreateGrant"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:TagKeys": [
						"AmazonDataZoneEnvironment"
					]
				},
				"ForAllValues:StringEquals": {
					"kms:GrantOperations": [
						"Decrypt"
					]
				}
			}
		}
	]
}