AWS マネージドポリシー：AmazonDataZoneSageMakerAccess

このポリシーは、Amazon SageMaker アセットをカタログに発行するアクセス DataZone 許可を Amazon に付与します。また、カタログ内の Amazon が SageMaker 公開したアセットへのアクセスを許可または取り消すアクセス DataZone 許可も Amazon に付与します。

このポリシーには以下を実行するための許可が含まれています。

• cloudtrail – CloudTrail 証跡に関する情報を取得します。

• cloudwatch – 現在の CloudWatch アラームを取得します。

• logs – CloudWatch ログのメトリクスフィルターを取得します。

• sns – SNSトピックへのサブスクリプションのリストを取得します。

• config – 設定レコーダー、リソース、および に関する情報を取得します。 AWS Config ルール。また、サービスにリンクされたロールが を作成および削除できるようにします。 AWS ルールと を設定して、ルールに対して評価を実行します。

• iam – アカウントの認証情報レポートを取得して生成します。

• organization – 組織のアカウントと組織単位 (OU) 情報を取得します。

• securityhub – Security Hub サービス、標準、コントロールの設定方法に関する情報を取得します。

• tag – リソースタグに関する情報を取得します。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AmazonSageMakerReadPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:DescribeFeatureGroup",
				"sagemaker:ListModelPackages",
				"sagemaker:DescribeModelPackage",
				"sagemaker:DescribeModelPackageGroup",
				"sagemaker:DescribeAlgorithm",
				"sagemaker:ListTags",
				"sagemaker:DescribeDomain",
				"sagemaker:GetModelPackageGroupPolicy",
				"sagemaker:Search"
			],
			"Resource": "*"
		},
		{
			"Sid": "AmazonSageMakerTaggingPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:AddTags",
				"sagemaker:DeleteTags"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringLike": {
					"aws:TagKeys": [
						"sagemaker:shared-with:*"
					]
				}
			}
		},
		{
			"Sid": "AmazonSageMakerModelPackageGroupPolicyPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:PutModelPackageGroupPolicy",
				"sagemaker:DeleteModelPackageGroupPolicy"
			],
			"Resource": [
				"arn:*:sagemaker:*:*:model-package-group/*"
			]
		},
		{
			"Sid": "AmazonSageMakerRAMPermission",
			"Effect": "Allow",
			"Action": [
				"ram:GetResourceShares",
				"ram:GetResourceShareInvitations",
				"ram:GetResourceShareAssociations"
			],
			"Resource": "*"
		},
		{
			"Sid": "AmazonSageMakerRAMResourcePolicyPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:PutResourcePolicy",
				"sagemaker:GetResourcePolicy",
				"sagemaker:DeleteResourcePolicy"
			],
			"Resource": [
				"arn:*:sagemaker:*:*:feature-group/*"
			]
		},
		{
			"Sid": "AmazonSageMakerRAMTagResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:TagResource"
			],
			"Resource": "arn:*:ram:*:*:resource-share/*",
			"Condition": {
				"Null": {
					"aws:RequestTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerRAMDeleteResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:DeleteResourceShare"
			],
			"Resource": "arn:*:ram:*:*:resource-share/*",
			"Condition": {
				"Null": {
					"aws:ResourceTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerRAMCreateResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:CreateResourceShare"
			],
			"Resource": "*",
			"Condition": {
				"StringLikeIfExists": {
					"ram:RequestedResourceType": [
						"sagemaker:*"
					]
				},
				"Null": {
					"aws:RequestTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerS3BucketPolicyPermission",
			"Effect": "Allow",
			"Action": [
				"s3:DeleteBucketPolicy",
				"s3:PutBucketPolicy",
				"s3:GetBucketPolicy"
			],
			"Resource": [
				"arn:aws:s3:::sagemaker-datazone*",
				"arn:aws:s3:::SageMaker-DataZone*",
				"arn:aws:s3:::datazone-sagemaker*",
				"arn:aws:s3:::DataZone-SageMaker*",
				"arn:aws:s3:::amazon-datazone*"
			]
		},
		{
			"Sid": "AmazonSageMakerS3Permission",
			"Effect": "Allow",
			"Action": [
				"s3:GetObject",
				"s3:ListBucket"
			],
			"Resource": [
				"arn:aws:s3:::sagemaker-datazone*",
				"arn:aws:s3:::SageMaker-DataZone*",
				"arn:aws:s3:::datazone-sagemaker*",
				"arn:aws:s3:::DataZone-SageMaker*",
				"arn:aws:s3:::amazon-datazone*"
			]
		},
		{
			"Sid": "AmazonSageMakerECRPermission",
			"Effect": "Allow",
			"Action": [
				"ecr:GetRepositoryPolicy",
				"ecr:SetRepositoryPolicy",
				"ecr:DeleteRepositoryPolicy"
			],
			"Resource": "*",
			"Condition": {
				"Null": {
					"aws:ResourceTag/AmazonDataZoneEnvironment": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerKMSReadPermission",
			"Effect": "Allow",
			"Action": [
				"kms:DescribeKey"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:TagKeys": [
						"AmazonDataZoneEnvironment"
					]
				}
			}
		},
		{
			"Sid": "AmazonSageMakerKMSGrantPermission",
			"Effect": "Allow",
			"Action": [
				"kms:CreateGrant"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:TagKeys": [
						"AmazonDataZoneEnvironment"
					]
				},
				"ForAllValues:StringEquals": {
					"kms:GrantOperations": [
						"Decrypt"
					]
				}
			}
		}
	]
}