Aggiungere RStudio supporto a un dominio esistente

Importante

Le politiche IAM personalizzate che consentono ad Amazon SageMaker Studio o Amazon SageMaker Studio Classic di creare SageMaker risorse Amazon devono inoltre concedere le autorizzazioni per aggiungere tag a tali risorse. L'autorizzazione per aggiungere tag alle risorse è necessaria perché Studio e Studio Classic taggano automaticamente tutte le risorse che creano. Se una policy IAM consente a Studio e Studio Classic di creare risorse ma non consente l'aggiunta di tag, si possono verificare errori AccessDenied "" durante il tentativo di creare risorse. Per ulteriori informazioni, consulta Fornisci le autorizzazioni per SageMaker etichettare le risorse AI.

AWS politiche gestite per Amazon SageMaker AIche danno i permessi per creare SageMaker risorse includono già le autorizzazioni per aggiungere tag durante la creazione di tali risorse.

Se hai aggiunto una RStudio licenza tramite AWS License Manager, puoi creare un nuovo dominio Amazon SageMaker AI con supporto per RStudio on SageMaker AI. Se disponi di un dominio esistente che non supporta RStudio, puoi aggiungere il RStudio supporto a quel dominio senza dover eliminare e ricreare il dominio. 

L'argomento seguente descrive come aggiungere questo supporto.

Prerequisiti

È necessario completare i seguenti passaggi prima di aggiornare il dominio corrente per aggiungere il supporto per RStudio on SageMaker AI. 

• Installazione e configurazione AWS CLI versione 2

• Configurazione di AWS CLI con credenziali IAM

• Crea un ruolo di esecuzione del dominio seguendo i passaggi descritti in Creare un dominio SageMaker AI RStudio utilizzando AWS CLI. Questo ruolo IAM a livello di dominio è richiesto dall'app. RStudio ServerPro Il ruolo richiede l'accesso AWS License Manager per la verifica di una licenza Posit Workbench valida e Amazon CloudWatch Logs per la pubblicazione dei log del server. 

• Implementa la tua RStudio licenza AWS License Manager seguendo i passaggi indicati nella licenza. RStudio

• (Facoltativo) Se desideri utilizzare RStudio in VPCOnly modalità, completa i passaggi RStudio in Solo VPC.

• Assicurati che i gruppi di sicurezza che hai configurato per ciascuno del tuo dominio soddisfino le quote UserProfilea livello di account. Quando configuri il profilo utente predefinito durante la creazione del dominio, puoi utilizzare il DefaultUserSettings parametro dell'CreateDomainAPI per aggiungere i profili utente SecurityGroups ereditati da tutti i profili utente creati nel dominio. Puoi anche fornire gruppi di sicurezza aggiuntivi per un utente specifico come parte del UserSettings parametro dell'CreateUserProfileAPI. Se hai aggiunto gruppi di sicurezza in questo modo, devi assicurarti che il numero totale di gruppi di sicurezza per profilo utente non superi la quota massima di 2 in modalità VPCOnly e 4 in modalità PublicInternetOnly. Se il numero totale di gruppi di sicurezza risultante per ogni profilo utente supera la quota, puoi combinare le regole di più gruppi di sicurezza in un unico gruppo di sicurezza. 

Aggiungi RStudio supporto a un dominio esistente

Dopo aver completato i prerequisiti, puoi aggiungere il RStudio supporto al tuo dominio esistente. I passaggi seguenti descrivono come aggiornare il dominio esistente per cui aggiungere il supporto. RStudio

Passaggio 1: elimina tutte le app del dominio

Per aggiungere il supporto RStudio al tuo dominio, l' SageMaker IA deve aggiornare i gruppi di sicurezza sottostanti per tutti i profili utente esistenti. Per completare questa operazione, devi eliminare e ricreare tutte le app esistenti nel dominio. Di seguito viene mostrato come eliminare tutte le app.

1. Elenca tutte le app del dominio.

   aws sagemaker \
      list-apps \
      --domain-id-equals <DOMAIN_ID>

2. Elimina ogni app per ogni profilo utente nel dominio.

   // JupyterServer apps 
   aws sagemaker \
       delete-app \
       --domain-id <DOMAIN_ID> \
       --user-profile-name <USER_PROFILE> \
       --app-type JupyterServer \
       --app-name <APP_NAME>
   
   // KernelGateway apps
   aws sagemaker \
       delete-app \
       --domain-id <DOMAIN_ID> \
       --user-profile-name <USER_PROFILE> \
       --app-type KernelGateway \
       --app-name <APP_NAME>

Fase 2: aggiornare tutti i profili utente con il nuovo elenco di gruppi di sicurezza

Questa è un'azione unica che devi completare per tutti i profili utente esistenti nel tuo dominio dopo aver rifattorizzato i gruppi di sicurezza esistenti. Ciò impedisce di raggiungere la quota per il numero massimo di gruppi di sicurezza. La chiamata UpdateUserProfile API ha esito negativo se l'utente ha delle app con stato impostato. InService Elimina tutte le app, quindi chiama l'API UpdateUserProfile per aggiornare i gruppi di sicurezza.

Nota

Il seguente requisito per la VPCOnly modalità delineato in Connect Amazon SageMaker Studio Classic Notebooks in un VPC a risorse esterne non è più necessario quando si aggiunge il RStudio supporto perché AppSecurityGroupManagement è gestito dal servizio AI: SageMaker

“Traffico TCP all'interno del gruppo di sicurezza. È necessario per la connettività tra l'app e le JupyterServer app. KernelGateway È necessario consentire l'accesso ad almeno le porte dell'intervallo 8192-65535.”

aws sagemaker \
    update-user-profile \
    --domain-id <DOMAIN_ID>\
    --user-profile-name <USER_PROFILE> \
    --user-settings "{\"SecurityGroups\": [\"<SECURITY_GROUP>\", \"<SECURITY_GROUP>\"]}"

Passaggio 3: attiva RStudio chiamando l' UpdateDomain API

1. Chiama l'UpdateDomainAPI per aggiungere il supporto per RStudio on SageMaker AI. Il parametro defaultusersettings è necessario solo se hai rifattorizzato i gruppi di sicurezza predefiniti per i tuoi profili utente.

   • Per la modalità VPCOnly:

     aws sagemaker \
         update-domain \
         --domain-id <DOMAIN_ID> \
         --app-security-group-management Service \
         --domain-settings-for-update RStudioServerProDomainSettingsForUpdate={DomainExecutionRoleArn=<DOMAIN_EXECUTION_ROLE_ARN>} \
         --default-user-settings "{\"SecurityGroups\": [\"<SECURITY_GROUP>\", \"<SECURITY_GROUP>\"]}"

   • Per la modalità PublicInternetOnly:

     aws sagemaker \
         update-domain \
         --domain-id <DOMAIN_ID> \
         --domain-settings-for-update RStudioServerProDomainSettingsForUpdate={DomainExecutionRoleArn=<DOMAIN_EXECUTION_ROLE_ARN>} \
         --default-user-settings "{\"SecurityGroups\": [\"<SECURITY_GROUP>\", \"<SECURITY_GROUP>\"]}"

2. Verifica che lo stato del dominio siaInService. Dopo aver impostato lo stato del dominioInService, viene aggiunto il supporto per RStudio on SageMaker AI.

   aws sagemaker \
       describe-domain \
       --domain-id <DOMAIN_ID>

3. Verifica che lo stato dell' RStudioServerPro app InService utilizzi il seguente comando.

   aws sagemaker list-apps --user-profile-name domain-shared

Passaggio 4: aggiungere RStudio l'accesso per gli utenti esistenti

Come parte dell'aggiornamento nella Fase 3, SageMaker AI contrassegna come impostazione DISABLED predefinita tutti i profili utente esistenti nel dominio. RStudio AccessStatus Ciò impedisce il superamento del numero di utenti consentito dalla licenza corrente. Per aggiungere l'accesso per gli utenti esistenti, è disponibile una sola fase di attivazione. Esegui l'opt-in chiamando l'UpdateUserProfileAPI con quanto segue: RStudioServerProAppSettings

• AccessStatus = ENABLED

• Facoltativo - UserGroup = R_STUDIO_USER o R_STUDIO_ADMIN

aws sagemaker \
    update-user-profile \
    --domain-id <DOMAIN_ID>\
    --user-profile-name <USER_PROFILE> \
    --user-settings "{\"RStudioServerProAppSettings\": {\"AccessStatus\": \"ENABLED\"}}"

Nota

Per impostazione predefinita, il numero di utenti a cui è possibile accedere RStudio è 60.

Passaggio 5: disattiva RStudio l'accesso per i nuovi utenti

Se non diversamente specificato durante la chiamataUpdateDomain, RStudio il supporto viene aggiunto per impostazione predefinita per tutti i nuovi profili utente creati dopo aver aggiunto il supporto per RStudio on SageMaker AI. Per disattivare l'accesso per un nuovo profilo utente, è necessario impostare esplicitamente il parametro AccessStatus su DISABLED come parte della chiamata API CreateUserProfile. Se il parametro AccessStatus non è specificato come parte dell'API CreateUserProfile, lo stato di accesso predefinito è ENABLED.

aws sagemaker \
    create-user-profile \
    --domain-id <DOMAIN_ID>\
    --user-profile-name <USER_PROFILE> \
    --user-settings "{\"RStudioServerProAppSettings\": {\"AccessStatus\": \"DISABLED\"}}"