Pipelines のクロスアカウントサポートを設定する

Amazon SageMaker Pipelines のクロスアカウントサポートにより、異なる AWS アカウントで運用されている他のチームや組織と機械学習パイプラインでコラボレーションできます。クロスアカウントパイプライン共有を設定すると、パイプラインへの制御されたアクセスを許可し、他のアカウントにパイプラインの詳細の表示、実行のトリガー、実行のモニタリングを許可できます。次のトピックでは、クロスアカウントパイプライン共有を設定する方法、共有リソースで使用できるさまざまなアクセス許可ポリシー、SageMaker AI への直接 API コールを通じて共有パイプラインエンティティにアクセスしてやり取りする方法について説明します。

クロスアカウントパイプライン共有を設定する

SageMaker AI は AWS Resource Access Manager (AWS RAM) を使用して、パイプラインエンティティをアカウント間で安全に共有できるようにします。

リソース共有を作成する

1. AWS RAM コンソールで [リソース共有を作成] を選択します。

2. リソース共有の詳細を指定する際は、Pipelines のリソースタイプを選択し、共有するパイプラインを 1 つまたは複数選択します。パイプラインを他のアカウントと共有すると、その実行もすべて暗黙的に共有されます。

3. アクセス許可をリソース共有に関連付けます。デフォルトの読み取り専用アクセス許可ポリシーまたは拡張パイプライン実行許可ポリシーのいずれかを選択します。詳細については、「Pipelines リソースのアクセス許可ポリシー」を参照してください。

   注記

   拡張パイプライン実行ポリシーを選択した場合、共有アカウントによって呼び出される開始、停止、再試行コマンドは、パイプラインを共有した AWS アカウントのリソースを使用することに注意してください。

4. AWS アカウント IDs を使用して、共有リソースへのアクセスを許可するアカウントを指定します。

5. リソース共有の設定を確認し、[リソース共有の作成] を選択します。リソース共有とプリンシパルの関連付けが完了するまでに数分かかることがあります。

詳細については、AWS 「 Resource Access Manager ユーザーガイド」の「リソースの共有」を参照してください。 AWS

リソース共有の招待に対する返信を受け取る

リソース共有とプリンシパルの関連付けが設定されると、指定された AWS アカウントはリソース共有に参加するための招待を受け取ります。 AWS アカウントは、共有リソースにアクセスするために招待を受け入れる必要があります。

を通じてリソース共有の招待を受け入れる方法の詳細については AWS RAM、「 Resource AWS Access Manager ユーザーガイド」の AWS 「共有リソースの使用」を参照してください。

Pipelines リソースのアクセス許可ポリシー

リソース共有を作成するときは、サポートされている 2 つのアクセス許可ポリシーのいずれかを選択して、SageMaker AI パイプラインリソースタイプに関連付けます。どちらのポリシーも、選択したパイプラインとそのすべての実行へのアクセス許可を付与します。

デフォルトの読み取り専用のアクセス許可

AWSRAMDefaultPermissionSageMakerPipeline ポリシーは以下の読み取り専用アクションを許可します。

"sagemaker:DescribePipeline"
"sagemaker:DescribePipelineDefinitionForExecution"   
"sagemaker:DescribePipelineExecution"
"sagemaker:ListPipelineExecutions"
"sagemaker:ListPipelineExecutionSteps"
"sagemaker:ListPipelineParametersForExecution"
"sagemaker:Search"

拡張パイプライン実行アクセス許可

AWSRAMPermissionSageMakerPipelineAllowExecution ポリシーには、デフォルトのポリシーの読み取り専用アクセス許可がすべて含まれており、共有アカウントがパイプラインの実行を開始、停止、再試行することも許可されます。

注記

拡張パイプライン実行アクセス許可ポリシーを使用する場合は、 AWS リソースの使用に注意してください。このポリシーにより、共有アカウントはパイプライン実行の開始、停止、再試行が許可されます。共有パイプラインの実行に使用されるリソースはすべて所有者アカウントによって消費されます。

拡張パイプライン実行アクセス許可ポリシーでは、以下のアクションを許可します。

"sagemaker:DescribePipeline"
"sagemaker:DescribePipelineDefinitionForExecution"   
"sagemaker:DescribePipelineExecution"
"sagemaker:ListPipelineExecutions"
"sagemaker:ListPipelineExecutionSteps"
"sagemaker:ListPipelineParametersForExecution"
"sagemaker:StartPipelineExecution"
"sagemaker:StopPipelineExecution"
"sagemaker:RetryPipelineExecution"
"sagemaker:Search"               

直接 API コールを通じて共有パイプラインエンティティにアクセスする

クロスアカウントパイプライン共有を設定すると、パイプライン ARN で次の SageMaker API アクションを呼び出すことができます。

注記

API コマンドは、リソース共有に関連付けられたアクセス許可に含まれている場合にのみ呼び出すことができます。AWSRAMPermissionSageMakerPipelineAllowExecution ポリシーを選択すると、開始、停止、再試行コマンドは、パイプラインを共有した AWS アカウントのリソースを使用します。

• DescribePipeline

• DescribePipelineDefinitionForExecution

• DescribePipelineExecution

• ListPipelineExecutions

• ListPipelineExecutionSteps

• ListPipelineParametersForExecution

• StartPipelineExecution

• StopPipelineExecution

• RetryPipelineExecution