교차 계정 계보 추적

SageMaker Amazon은 다른 AWS 계정의 계보 개체 추적을 지원합니다. 다른 AWS 계정은 사용자와 계보 엔티티를 공유할 수 있으며 사용자는 직접 API 호출 또는 SageMaker 계보 쿼리를 통해 이러한 계보 엔티티에 액세스할 수 있습니다.

SageMaker 계보 리소스를 안전하게 공유하는 AWS Resource Access Manager데 사용됩니다. AWS RAM 콘솔을 통해 리소스를 공유할 수 있습니다.

교차 계정 계보 추적 설정

SageMakerAmazon의 계보 그룹을 계보 추적 엔터티 통해 그룹화하고 공유할 수 있습니다. SageMaker 계정당 하나의 기본 계보 그룹만 지원합니다. SageMaker 계정에 계보 엔티티가 생성될 때마다 기본 계보 그룹을 생성합니다. 계정이 소유한 모든 계보 엔터티는 이 기본 계보 그룹에 할당됩니다. 계보 엔터티를 다른 계정과 공유하려면 이 기본 계보 그룹을 해당 계정과 공유해야 합니다.

참고

계보 그룹의 모든 계보 추적 엔터티를 공유하거나 공유하지 않을 수 있습니다.

콘솔을 사용하여 계보 엔티티의 리소스 공유를 생성합니다. AWS Resource Access Manager 자세한 내용은 AWS Resource Access Manager 사용 설명서의 AWS 리소스 공유를 참조하십시오.

참고

리소스 공유가 생성된 후에는 리소스 및 보안 주체 연결이 완료되는 데 몇 분 정도 걸릴 수 있습니다. 연결이 설정되면 공유 계정에서 리소스 공유에 가입하라는 초대가 발송됩니다. 공유 리소스에 대한 액세스 권한을 얻으려면 공유 계정이 초대를 수락해야 합니다. 리소스 공유 초대를 수락하는 방법에 대한 자세한 내용은 Resource Access Manager 사용 설명서의 공유 AWS AWS 리소스 사용을 참조하세요. AWS RAM

교차 계정 계보 리소스 추적 정책

SageMaker Amazon은 한 가지 유형의 리소스 정책만 지원합니다. SageMaker 리소스 정책은 다음 작업을 모두 허용해야 합니다.

"sagemaker:DescribeAction"
"sagemaker:DescribeArtifact"
"sagemaker:DescribeContext"
"sagemaker:DescribeTrialComponent"
"sagemaker:AddAssociation"
"sagemaker:DeleteAssociation"
"sagemaker:QueryLineage"            
          

예 다음은 계정 계보 그룹의 SageMaker 리소스 AWS Resource Access Manager 공유를 만드는 데 사용하여 만든 리소스 정책입니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "FullLineageAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012" #account-id
      },
      "Action": [
        "sagemaker:DescribeAction",
        "sagemaker:DescribeArtifact",
        "sagemaker:DescribeContext",
        "sagemaker:DescribeTrialComponent",
        "sagemaker:AddAssociation",
        "sagemaker:DeleteAssociation",
        "sagemaker:QueryLineage"
      ],
      "Resource": "arn:aws:sagemaker:us-west-2:111111111111:lineage-group/sagemaker-default-lineage-group" #Sample lineage group resource 
    }
  ]
}

교차 계정 계보 엔터티 추적

교차 계정 계보 추적을 사용하면 동일한 AddAssociationAPI 작업을 사용하여 여러 계정의 계보 엔터티를 연결할 수 있습니다. 두 계보 엔티티를 연결할 때 두 계보 엔티티에 대해 AddAssociation API 작업을 수행할 권한이 있는지 SageMaker 검증합니다. SageMaker 그런 다음 연결을 설정합니다. 권한이 없는 경우 연결을 만들지 SageMaker 않습니다. 교차 계정 연결이 설정되면 QueryLineageAPI 작업을 통해 다른 계보 엔터티에서 둘 중 하나에 액세스할 수 있습니다. 자세한 정보는 계보 엔터티 쿼리을 참조하세요.

계정 간 액세스 권한이 있는 경우 계보 엔티티를 SageMaker 자동으로 생성하는 것 외에도 동일한 개체 또는 데이터를 참조하는 아티팩트를 SageMaker 연결합니다. 한 계정의 데이터를 여러 계정의 계보 추적에 사용하는 경우 각 계정에 아티팩트를 SageMaker 만들어 해당 데이터를 추적합니다. 교차 계정 계보를 사용하면 SageMaker 새 아티팩트를 만들 때마다 동일한 데이터에 대해 생성된 다른 아티팩트가 사용자와 공유되는지 SageMaker 확인합니다. SageMaker 그런 다음 새로 만든 아티팩트와 로 설정된 상태로 사용자와 공유되는 각 아티팩트 간에 연결을 설정합니다. AssociationType SameAs 그런 다음 QueryLineageAPI 작업을 사용하여 사용자 계정의 계보 엔터티를 탐색하여 자신과 공유되지만 다른 AWS 계정에서 소유한 계보 엔터티로 이동할 수 있습니다. 자세한 정보는 계보 엔터티 쿼리섹션을 참조하세요.

다른 계정의 계보 리소스에 액세스

계보 공유를 위한 교차 계정 액세스가 설정되면 ARN에서 직접 다음 SageMaker API 작업을 호출하여 다른 계정의 공유 계보 엔티티를 설명할 수 있습니다.

• DescribeAction

• DescribeArtifact

• DescribeContext

• DescribeTrialComponent

또한 다음 API 작업을 사용하여 공유된 다른 계정이 소유한 계보 엔티티에 대한 연결을 관리할 수 있습니다. SageMaker

• AddAssociation

• DeleteAssociation

SageMaker 리니지 API를 사용하여 여러 계정에서 계보를 쿼리하는 방법을 보여주는 노트북은 sagemaker-linage-cross-account-with-ram.ipynb를 참조하십시오.

교차 계정 계보 엔터티를 쿼리할 수 있는 권한

Amazon은 사용자가 에서 QueryLineage API 작업을 수행할 권한이 있는지 SageMaker 확인해야 합니다StartArns. 이는 LineageGroup에 연결된 리소스 정책을 통해 적용됩니다. 이 작업의 결과에는 사용자 계정에서 소유했든 다른 계정에서 공유했든 관계없이 액세스할 수 있는 모든 계보 엔터티가 포함됩니다. 자세한 내용은 계보 엔터티 쿼리섹션을 참조하세요.