AWS 관리형 정책: AmazonDataZoneSageMakerAccess

이 정책은 Amazon에 Amazon SageMaker 자산을 카탈로그에 게시할 DataZone 권한을 부여합니다. 또한 Amazon에 카탈로그에 SageMaker 게시된 자산에 대한 액세스 DataZone 권한을 부여하거나 액세스 권한을 취소할 수 있는 권한을 Amazon에 부여합니다.

이 정책에는 다음을 할 수 있는 권한이 포함되어 있습니다.

• cloudtrail — 트레일에 대한 정보를 검색합니다. CloudTrail

• 클라우드워치 — 현재 경보를 검색합니다. CloudWatch

• 로그 — 로그에 대한 지표 필터를 검색합니다. CloudWatch

• sns — SNS 주제에 대한 구독 목록을 검색합니다.

• config — 구성 레코더, 리소스 및 Config AWS 규칙에 대한 정보를 검색합니다. 또한 서비스 연결 역할이 AWS Config 규칙을 생성 및 삭제하고 규칙에 대한 평가를 실행할 수 있습니다.

• iam — 계정에 대한 자격 증명 보고서를 가져오고 생성합니다.

• 조직 — 조직의 계정 및 OU (조직 구성 단위) 정보를 검색합니다.

• securityhub — Security Hub 서비스, 표준 및 제어가 구성된 방식에 대한 정보를 검색합니다.

• 태그 - 리소스 태그에 대한 정보를 검색합니다.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AmazonSageMakerReadPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:DescribeFeatureGroup",
				"sagemaker:ListModelPackages",
				"sagemaker:DescribeModelPackage",
				"sagemaker:DescribeModelPackageGroup",
				"sagemaker:DescribeAlgorithm",
				"sagemaker:ListTags",
				"sagemaker:DescribeDomain",
				"sagemaker:GetModelPackageGroupPolicy",
				"sagemaker:Search"
			],
			"Resource": "*"
		},
		{
			"Sid": "AmazonSageMakerTaggingPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:AddTags",
				"sagemaker:DeleteTags"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringLike": {
					"aws:TagKeys": [
						"sagemaker:shared-with:*"
					]
				}
			}
		},
		{
			"Sid": "AmazonSageMakerModelPackageGroupPolicyPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:PutModelPackageGroupPolicy",
				"sagemaker:DeleteModelPackageGroupPolicy"
			],
			"Resource": [
				"arn:*:sagemaker:*:*:model-package-group/*"
			]
		},
		{
			"Sid": "AmazonSageMakerRAMPermission",
			"Effect": "Allow",
			"Action": [
				"ram:GetResourceShares",
				"ram:GetResourceShareInvitations",
				"ram:GetResourceShareAssociations"
			],
			"Resource": "*"
		},
		{
			"Sid": "AmazonSageMakerRAMResourcePolicyPermission",
			"Effect": "Allow",
			"Action": [
				"sagemaker:PutResourcePolicy",
				"sagemaker:GetResourcePolicy",
				"sagemaker:DeleteResourcePolicy"
			],
			"Resource": [
				"arn:*:sagemaker:*:*:feature-group/*"
			]
		},
		{
			"Sid": "AmazonSageMakerRAMTagResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:TagResource"
			],
			"Resource": "arn:*:ram:*:*:resource-share/*",
			"Condition": {
				"Null": {
					"aws:RequestTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerRAMDeleteResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:DeleteResourceShare"
			],
			"Resource": "arn:*:ram:*:*:resource-share/*",
			"Condition": {
				"Null": {
					"aws:ResourceTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerRAMCreateResourceSharePermission",
			"Effect": "Allow",
			"Action": [
				"ram:CreateResourceShare"
			],
			"Resource": "*",
			"Condition": {
				"StringLikeIfExists": {
					"ram:RequestedResourceType": [
						"sagemaker:*"
					]
				},
				"Null": {
					"aws:RequestTag/AwsDataZoneDomainId": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerS3BucketPolicyPermission",
			"Effect": "Allow",
			"Action": [
				"s3:DeleteBucketPolicy",
				"s3:PutBucketPolicy",
				"s3:GetBucketPolicy"
			],
			"Resource": [
				"arn:aws:s3:::sagemaker-datazone*",
				"arn:aws:s3:::SageMaker-DataZone*",
				"arn:aws:s3:::datazone-sagemaker*",
				"arn:aws:s3:::DataZone-SageMaker*",
				"arn:aws:s3:::amazon-datazone*"
			]
		},
		{
			"Sid": "AmazonSageMakerS3Permission",
			"Effect": "Allow",
			"Action": [
				"s3:GetObject",
				"s3:ListBucket"
			],
			"Resource": [
				"arn:aws:s3:::sagemaker-datazone*",
				"arn:aws:s3:::SageMaker-DataZone*",
				"arn:aws:s3:::datazone-sagemaker*",
				"arn:aws:s3:::DataZone-SageMaker*",
				"arn:aws:s3:::amazon-datazone*"
			]
		},
		{
			"Sid": "AmazonSageMakerECRPermission",
			"Effect": "Allow",
			"Action": [
				"ecr:GetRepositoryPolicy",
				"ecr:SetRepositoryPolicy",
				"ecr:DeleteRepositoryPolicy"
			],
			"Resource": "*",
			"Condition": {
				"Null": {
					"aws:ResourceTag/AmazonDataZoneEnvironment": "false"
				}
			}
		},
		{
			"Sid": "AmazonSageMakerKMSReadPermission",
			"Effect": "Allow",
			"Action": [
				"kms:DescribeKey"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:TagKeys": [
						"AmazonDataZoneEnvironment"
					]
				}
			}
		},
		{
			"Sid": "AmazonSageMakerKMSGrantPermission",
			"Effect": "Allow",
			"Action": [
				"kms:CreateGrant"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:TagKeys": [
						"AmazonDataZoneEnvironment"
					]
				},
				"ForAllValues:StringEquals": {
					"kms:GrantOperations": [
						"Decrypt"
					]
				}
			}
		}
	]
}