Lambda 함수에서 기계 학습 리소스에 액세스

기계 학습 리소스의 리소스 소유자로 시스템 그룹 없음을 선택합니다. 컨테이너화된 Lambda 함수만 기계 학습 리소스에 액세스할 때 권장되는 설정입니다. 아니면 연결된 Lambda 함수에 필요한 것보다 많은 액세스 권한을 부여할 수 있습니다.

기계 학습 리소스의 리소스 소유자로 사용할 시스템 그룹의 ID(GID)를 지정합니다. 시스템 그룹 및 권한 지정을 선택하고 GID를 입력합니다. 코어 디바이스의 getent group 명령을 사용하여 시스템 그룹의 ID를 조회할 수 있습니다.

시스템 그룹 권한으로 읽기 전용 액세스 또는 읽기 및 쓰기 액세스를 선택합니다.

컨테이너화된 Lambda 함수의 경우 ResourceAccessPolicies 속성의 Permission 속성에서 액세스 권한을 정의합니다. 예:

"Functions": [
    {
        "Id": "my-containerized-function",
        "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", 
        "FunctionConfiguration": {
            "Environment": {
                "ResourceAccessPolicies": [
                    { 
                        "ResourceId": "my-resource-id",
                        "Permission": "ro-or-rw"
                    }
                ]
            }, 
            "MemorySize": 512, 
            "Pinned": true, 
            "Timeout": 5
        }
    }
]

기계 학습 리소스의 경우 OwnerSetting 속성을 생략합니다. 예:

"Resources": [
    {
        "Id": "my-resource-id",
        "Name": "my-resource-name",
        "ResourceDataContainer": {
            "S3MachineLearningModelResourceData": {
                "DestinationPath": "/local-destination-path",
                "S3Uri": "s3://uri-to-resource-package"
            }
        }
    }
]

컨테이너화된 Lambda 함수만 기계 학습 리소스에 액세스할 때 권장되는 구성입니다. 아니면 연결된 Lambda 함수에 필요한 것보다 많은 액세스 권한을 부여할 수 있습니다.

컨테이너화되지 않은 Lambda 함수의 경우, ResourceAccessPolicies에서 Permission 속성을 생략합니다. 이 구성은 필수이며 함수가 리소스 수준 권한을 상속할 수 있게 해줍니다. 예:

"Functions": [
    {
        "Id": "my-non-containerized-function",
        "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", 
        "FunctionConfiguration": {
            "Environment": {
                "Execution": {
                    "IsolationMode": "NoContainer",
                },            
                "ResourceAccessPolicies": [
                    { 
                        "ResourceId": "my-resource-id"
                    }
                ]
            }, 
            "Pinned": true, 
            "Timeout": 5
        }
    }
]

기계 학습 리소스에도 액세스하는 컨테이너화된 Lambda 함수의 경우, ResourceAccessPolicies에서 Permission 속성을 생략하거나 리소스 수준 권한과 같거나 더 제한적인 권한을 정의합니다. 예:

"Functions": [
    {
        "Id": "my-containerized-function",
        "FunctionArn": "arn:aws:lambda:us-west-2:123456789012:function:function-name:alias-or-version", 
        "FunctionConfiguration": {
            "Environment": {
                "ResourceAccessPolicies": [
                    { 
                        "ResourceId": "my-resource-id",
                        "Permission": "ro-or-rw" // Optional, but cannot exceed the GroupPermission defined for the resource.
                    }
                ]
            }, 
            "MemorySize": 512, 
            "Pinned": true, 
            "Timeout": 5
        }
    }
]

기계 학습 리소스의 경우, 하위 GroupOwner 및 GroupPermission 속성을 포함해 OwnerSetting 속성을 정의합니다. 예:

"Resources": [
    {
        "Id": "my-resource-id",
        "Name": "my-resource-name",
        "ResourceDataContainer": {
            "S3MachineLearningModelResourceData": {
                "DestinationPath": "/local-destination-path",
                "S3Uri": "s3://uri-to-resource-package",
                "OwnerSetting": { 
                    "GroupOwner": "os-group-id",
                    "GroupPermission": "ro-or-rw"
                }
            }
        }
    }
]