AWS Model Registry の マネージドポリシー

これらの AWS 管理ポリシーは、Model Registry を使用するために必要なアクセス許可を追加します。ポリシーは AWS アカウントで使用でき、Amazon SageMaker コンソールから作成された実行ロールによって使用されます。

AWS マネージドポリシー： AmazonSageMakerModelRegistryFullAccess

この AWS 管理ポリシーは、Amazon SageMaker ドメイン内のすべての Model Registry 機能を使用するために必要なアクセス許可を付与します。このポリシーは、Model Registry 設定で Model Registry のアクセス許可を有効にする際に、実行ロールにアタッチされます。

このポリシーには、以下のアクセス許可が含まれています。

• ecr — Amazon Elastic Container Registry (Amazon ECR) イメージに関する情報 (メタデータを含む) の取得をプリンシパルにを許可します。

• iam — プリンシパルが Amazon SageMaker サービスに実行ロールを渡すことを許可します。

• resource-groups – プリンシパルが を作成、一覧表示、タグ付け、削除できるようにします AWS Resource Groups。

• s3 — モデルバージョンが保存されている Amazon Simple Storage Service (Amazon S3) バケットからオブジェクトを取得することをプリンシパルに許可します。取得可能なオブジェクトは、大文字と小文字を区別しない名前に "sagemaker" の文字列が含まれるオブジェクトに限定されます。

• sagemaker – プリンシパルがモデルレジストリを使用して SageMaker モデルをカタログ化、管理、デプロイできるようにします。

• kms — SageMaker サービスプリンシパルのみがグラントを追加し、データキーを生成し、復号化して AWS KMS キーを読み取ること、および「sagemaker」用にタグ付けされたキーのみを許可します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AmazonSageMakerModelRegistrySageMakerReadPermission",
      "Effect": "Allow",
      "Action": [
        "sagemaker:DescribeAction",
        "sagemaker:DescribeInferenceRecommendationsJob",
        "sagemaker:DescribeModelPackage",
        "sagemaker:DescribeModelPackageGroup",
        "sagemaker:DescribePipeline",
        "sagemaker:DescribePipelineExecution",
        "sagemaker:ListAssociations",
        "sagemaker:ListArtifacts",
        "sagemaker:ListModelMetadata",
        "sagemaker:ListModelPackages",
        "sagemaker:Search",
        "sagemaker:GetSearchSuggestions"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistrySageMakerWritePermission",
      "Effect": "Allow",
      "Action": [
        "sagemaker:AddTags",
        "sagemaker:CreateModel",
        "sagemaker:CreateModelPackage",
        "sagemaker:CreateModelPackageGroup",
        "sagemaker:CreateEndpoint",
        "sagemaker:CreateEndpointConfig",
        "sagemaker:CreateInferenceRecommendationsJob",
        "sagemaker:DeleteModelPackage",
        "sagemaker:DeleteModelPackageGroup",
        "sagemaker:DeleteTags",
        "sagemaker:UpdateModelPackage"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryS3GetPermission",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::*SageMaker*",
        "arn:aws:s3:::*Sagemaker*",
        "arn:aws:s3:::*sagemaker*"
      ]
    },
    {
      "Sid": "AmazonSageMakerModelRegistryS3ListPermission",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryECRReadPermission",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:DescribeImages"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryIAMPassRolePermission",
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::*:role/*",
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "sagemaker.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryTagReadPermission",
      "Effect": "Allow",
      "Action": [
        "tag:GetResources"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupGetPermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:GetGroupQuery"
      ],
      "Resource": "arn:aws:resource-groups:*:*:group/*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupListPermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:ListGroupResources"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupWritePermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:CreateGroup",
        "resource-groups:Tag"
      ],
      "Resource": "arn:aws:resource-groups:*:*:group/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": "sagemaker:collection"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupDeletePermission",
      "Effect": "Allow",
      "Action": "resource-groups:DeleteGroup",
      "Resource": "arn:aws:resource-groups:*:*:group/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/sagemaker:collection": "true"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceKMSPermission",
      "Effect": "Allow",
      "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey",
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:*:*:key/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/sagemaker" : "true"
        },
        "StringLike": {
          "kms:ViaService": "sagemaker.*.amazonaws.com"
        }
      }
    }
  ]
}

Model Registry 管理ポリシーに対する Amazon SageMaker の更新

Model Registry の AWS マネージドポリシーの更新に関する詳細を、このサービスがこれらの変更の追跡を開始した以降の分について表示します。このページの変更に関する自動通知を受け取るには、 SageMaker ドキュメント履歴ページの RSS フィードにサブスクライブしてください。

ポリシー	Version	変更	日付
AmazonSageMakerModelRegistryFullアクセス – 既存ポリシーへの更新	2	kms:CreateGrant、kms:DescribeKey、、kms:GenerateDataKeyおよび アクセスkms:Decrypt許可を追加します。	2024 年 6 月 6 日
AmazonSageMakerModelRegistryFullAccess - 新しいポリシー	1	初期ポリシー	2023 年 4 月 12 日