Autenticazione e restrizioni della forza lavoro

Ground Truth consente di utilizzare la forza lavoro privata per operare sui processi di etichettatura. Una forza lavoro privata è un concetto astratto che si riferisce a un insieme di persone che lavorano per te. Ogni processo di etichettatura viene creato utilizzando un team di lavoro composto da worker della forza lavoro. Ground Truth supporta la creazione di personale privato utilizzando Amazon Cognito.

Una forza lavoro A Ground Truth esegue la mappatura su un pool di utenti di Amazon Cognito. Un team di lavoro di Ground Truth esegue la mappatura su un gruppo di utenti di Amazon Cognito. Amazon Cognito gestisce l'autenticazione dei worker. Amazon Cognito supporta la connessione Open ID (OIDC) e i clienti possono impostare la federazione Amazon Cognito con il proprio provider di identità (IdP).

Ground Truth consente solo una forza lavoro per account per AWS regione. Ogni forza lavoro dispone di un URL di accesso dedicato al portale di lavoro Ground Truth.

Inoltre, puoi limitare i worker a un blocco CIDR (Classless Inter-Domain Routing) o intervallo di indirizzi IP. Ciò significa che gli annotatori devono trovarsi in una rete specifica per accedere al sito di annotazione. È possibile aggiungere fino a quattro blocchi CIDR per una forza lavoro. Per ulteriori informazioni, consulta Gestione della forza lavoro privata tramite l'API Amazon SageMaker .

Per informazioni su come creare una forza lavoro privata, vedi Crea una forza lavoro privata (Amazon Cognito).

Limitazione dell'accesso dei tipi di forza lavoro

I team di lavoro di Amazon SageMaker Ground Truth rientrano in tre tipi di forza lavoro: pubblica (con Amazon Mechanical Turk), privata e vendor. Per limitare l'accesso dell'utente a un team di lavoro specifico utilizzando uno di questi tipi o l'ARN del team di lavoro, utilizza sagemaker:WorkteamType e/o le chiavi di condizione sagemaker:WorkteamArn. Per la chiave di sagemaker:WorkteamType condizione, utilizza gli operatori di condizione stringa. Per la chiave di condizione sagemaker:WorkteamArn, utilizza gli operatori di condizione nome della risorsa Amazon (ARN). Se l'utente tenta di creare un lavoro di etichettatura con un team di lavoro limitato, l' SageMaker intelligenza artificiale restituisce un errore di accesso negato.

Le policy riportate di seguito illustrano diversi modi per utilizzare le chiavi di condizione sagemaker:WorkteamType e sagemaker:WorkteamArn con gli operatori di condizione appropriati e i valori di condizione validi.

Nell'esempio seguente viene utilizzata la chiave di condizione sagemaker:WorkteamType con l'operatore di condizione StringEquals per limitare l'accesso a un team di lavoro pubblico. Accetta i valori delle condizioni nel seguente formato:workforcetype-crowd, where workforcetype can equal publicprivate, ovendor.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RestrictWorkteamType",
            "Effect": "Deny",
            "Action": "sagemaker:CreateLabelingJob",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "sagemaker:WorkteamType": "public-crowd"
                }
            }
        }
    ]
}

Le policy seguenti mostrano come limitare l'accesso a un team di lavoro pubblico utilizzando la chiave di condizione sagemaker:WorkteamArn. La prima mostra come usare una variante regex IAM valida dell'ARN del team di lavoro e l'operatore di condizione ArnLike. La seconda mostra come usare l'operatore di condizione ArnEquals e l'ARN del team di lavoro.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RestrictWorkteamType",
            "Effect": "Deny",
            "Action": "sagemaker:CreateLabelingJob",
            "Resource": "*",
            "Condition": {
                "ArnLike": {
                    "sagemaker:WorkteamArn": "arn:aws:sagemaker:*:*:workteam/public-crowd/*"
                }
            }
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RestrictWorkteamType",
            "Effect": "Deny",
            "Action": "sagemaker:CreateLabelingJob",
            "Resource": "*",
            "Condition": {
                "ArnEquals": {
                    "sagemaker:WorkteamArn": "arn:aws:sagemaker:us-west-2:394669845002:workteam/public-crowd/default"
                }
            }
        }
    ]
}