AWS SageMaker ノートブックの管理ポリシー

AWS これらの管理ポリシーは、 SageMaker ノートブックの使用に必要な権限を追加します。 AWS ポリシーはアカウントで利用でき、 SageMaker コンソールから作成された実行ロールによって使用されます。

AWS 管理ポリシー: AmazonSageMakerNotebooksServiceRolePolicy

AWS この管理ポリシーは、Amazon SageMaker Notebooks を使用するために一般的に必要となるアクセス権限を付与します。ポリシーは、Amazon SageMaker Studio AmazonSageMaker-ExecutionRole Classic へのオンボーディング時に作成されたポリシーに追加されます。サービスにリンクしたロールの詳細については、「サービスリンクロール」を参照してください。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

• elasticfilesystem — Amazon Elastic File System (EFS) ファイルシステム、アクセスポイント、マウントターゲットの作成や削除をプリンシパルに許可します。ManagedByAmazonSageMakerResourceこれらはキーでタグ付けされたものに限定されます。すべての EFS ファイルシステム、アクセスポイント、マウントターゲットを記述することをプリンシパルに許可します。EFS アクセスポイントとマウントターゲットのタグを作成または上書きすることをプリンシパルに許可します。

• ec2 — Amazon Elastic Compute Cloud (EC2) インスタンスのネットワークインターフェイスとセキュリティグループを作成することをプリンシパルに許可します。また、これらのリソースのタグを作成したり上書きしたりすることもプリンシパルに許可します。

• sso — マネージドアプリケーションインスタンスの AWS IAM Identity Centerに対する追加や削除をプリンシパルに許可します。

• sagemaker— SageMaker プリンシパルがユーザープロファイルを作成および読み取ることを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "elasticfilesystem:CreateAccessPoint",
            "Resource": "arn:aws:elasticfilesystem:*:*:file-system/*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/ManagedByAmazonSageMakerResource": "*",
                    "aws:RequestTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DeleteAccessPoint"
            ],
            "Resource": "arn:aws:elasticfilesystem:*:*:access-point/*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "elasticfilesystem:CreateFileSystem",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:CreateMountTarget",
                "elasticfilesystem:DeleteFileSystem",
                "elasticfilesystem:DeleteMountTarget"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DescribeAccessPoints",
                "elasticfilesystem:DescribeFileSystems",
                "elasticfilesystem:DescribeMountTargets"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "elasticfilesystem:TagResource",
            "Resource": [
                "arn:aws:elasticfilesystem:*:*:access-point/*",
                "arn:aws:elasticfilesystem:*:*:file-system/*"
            ],
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*",
                "arn:aws:ec2:*:*:security-group/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:CreateSecurityGroup",
                "ec2:DeleteNetworkInterface",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ec2:ModifyNetworkInterfaceAttribute"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:DeleteSecurityGroup",
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupIngress"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ec2:ResourceTag/ManagedByAmazonSageMakerResource": "*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "sso:CreateManagedApplicationInstance",
                "sso:DeleteManagedApplicationInstance",
                "sso:GetManagedApplicationInstance"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreateUserProfile",
                "sagemaker:DescribeUserProfile"
            ],
            "Resource": "*"
        }
    ]
}

Amazon SageMaker SageMaker がノートブック管理ポリシーを更新

SageMaker このサービスが変更の追跡を開始して以降の Amazon AWS の管理ポリシーの更新に関する詳細を表示します。

ポリシー	バージョン	変更	日付
AmazonSageMakerNotebooksServiceRolePolicy	7	elasticfilesystem:TagResource アクセス許可を追加しました。	2023 年 3 月 9 日
AmazonSageMakerNotebooksServiceRolePolicy	6	elasticfilesystem:CreateAccessPoint、elasticfilesystem:DeleteAccessPoint、elasticfilesystem:DescribeAccessPoints のアクセス許可を追加しました。	2023 年 1 月 12 日
		SageMaker AWS 管理ポリシーの変更の追跡を開始しました。	2021 年 6 月 1 日