Crie um domínio Amazon SageMaker AI RStudio usando o AWS CLI

Importante

Políticas personalizadas do IAM que permitem que o Amazon SageMaker SageMaker Studio ou o Amazon Studio Classic criem SageMaker recursos da Amazon também devem conceder permissões para adicionar tags a esses recursos. A permissão para adicionar tags aos recursos é necessária porque o Studio e o Studio Classic marcam automaticamente todos os recursos que eles criam. Se uma política do IAM permitir que o Studio e o Studio Classic criem recursos, mas não permitisse a marcação, erros AccessDenied "" podem ocorrer ao tentar criar recursos. Para obter mais informações, consulte Forneça permissões para marcar recursos de SageMaker IA.

AWS políticas gerenciadas para Amazon SageMaker AIque dão permissões para criar SageMaker recursos já incluem permissões para adicionar tags ao criar esses recursos.

O tópico a seguir mostra como fazer a integração com o domínio Amazon SageMaker AI com a RStudio habilitação usando o. AWS CLI Para fazer a integração usando o AWS Management Console, consulteVisão geral do domínio Amazon SageMaker AI.

Pré-requisitos

• Instalar e configurar a versão 2 do AWS CLI

• Configure o AWS CLIcom credenciais do IAM

Criar função do DomainExecution

Para iniciar o RStudio aplicativo, você deve fornecer uma DomainExecution função. Essa função é usada para determinar se RStudio precisa ser lançada como parte da criação do domínio Amazon SageMaker AI. Essa função também é usada pela Amazon SageMaker AI para acessar a RStudio licença e enviar RStudio registros. 

nota

A DomainExecution função deve ter pelo menos AWS License Manager permissões para acessar a RStudio Licença e CloudWatch permissões para enviar registros em sua conta.

O procedimento a seguir mostra como criar a função DomainExecution com o AWS CLI.

1. Crie um arquivo chamado assume-role-policy.json com o conteúdo a seguir.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Action": "sts:AssumeRole",
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "sagemaker.amazonaws.com"
                   ]
               }
           }
       ]
   }

2. Crie a função DomainExecution. <REGION> deve ser a região da AWS na qual lançar seu domínio.

   aws iam create-role --region <REGION> --role-name DomainExecution --assume-role-policy-document file://assume-role-policy.json

3. Crie um arquivo chamado domain-setting-policy.json com o conteúdo a seguir. Essa política permite que o RStudio ServerPro aplicativo acesse os recursos necessários e permite que a Amazon SageMaker AI inicie automaticamente um RStudio ServerPro aplicativo quando o RStudio ServerPro aplicativo existente estiver em um Failed status Deleted ou.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "license-manager:ExtendLicenseConsumption",
                   "license-manager:ListReceivedLicenses",
                   "license-manager:GetLicense",
                   "license-manager:CheckoutLicense",
                   "license-manager:CheckInLicense",
                   "logs:CreateLogDelivery",
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:DeleteLogDelivery",
                   "logs:Describe*",
                   "logs:GetLogDelivery",
                   "logs:GetLogEvents",
                   "logs:ListLogDeliveries",
                   "logs:PutLogEvents",
                   "logs:PutResourcePolicy",
                   "logs:UpdateLogDelivery",
                   "sagemaker:CreateApp"
               ],
               "Resource": "*"
           }
       ]
   }

4. Crie a política de configuração de domínio anexada à função DomainExecution. Fique atento ao PolicyArn da resposta, pois você precisará inserir esse ARN nas etapas a seguir.

   aws iam create-policy --region <REGION> --policy-name domain-setting-policy --policy-document file://domain-setting-policy.json

5. Anexe domain-setting-policy à função DomainExecution. Use o PolicyArn retornado na etapa anterior.

   aws iam attach-role-policy --role-name DomainExecution --policy-arn <POLICY_ARN>

Crie um domínio Amazon SageMaker AI com o RStudio aplicativo

O RStudio ServerPro aplicativo é iniciado automaticamente quando você cria um domínio Amazon SageMaker AI usando o comando create-domain CLI com o RStudioServerProDomainSettings parâmetro especificado. Ao iniciar o RStudio ServerPro aplicativo, a Amazon SageMaker AI verifica se há uma RStudio licença válida na conta e falha na criação do domínio se a licença não for encontrada.

A criação de um domínio Amazon SageMaker AI difere com base no método de autenticação e no tipo de rede. Essas opções devem ser usadas em conjunto com um método de autenticação e um tipo de conexão de rede selecionados. Para obter mais informações sobre os requisitos para criar um novo domínio, consulte CreateDomain.

Os seguintes métodos de autenticação são compatíveis:

• IAM Auth

• SSO Auth

Os seguintes tipos de conexão de rede são compatíveis:

• PublicInternet

• VPCOnly

Métodos de autenticação

Modo de autenticação do IAM

A seguir, mostramos como criar um domínio Amazon SageMaker AI com RStudio habilitado e um tipo de IAM Auth rede. Para obter mais informações sobre AWS Identity and Access Management, consulte O que é IAM? .

• DomainExecutionRoleArn deve ser o ARN da função criada na etapa anterior.

• ExecutionRoleé o ARN da função atribuída aos usuários no domínio Amazon SageMaker AI.

• vpc-iddeve ser o ID da sua Amazon Virtual Private Cloud. subnet-idsdeve ser uma lista de sub-rede separada por espaços. IDs Para obter informações sobre vpc-id esubnet-ids, consulte VPCs e sub-redes.

• RStudioPackageManagerUrle RStudioConnectUrl são opcionais e devem ser configurados como os URLs do seu servidor RStudio Package Manager e RStudio Connect, respectivamente.

• app-network-access-type deve ser PublicInternetOnly ou VPCOnly.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode IAM \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type <NETWORK_ACCESS_TYPE>

Autenticação usando o IAM Identity Center

A seguir, mostramos como criar um domínio Amazon SageMaker AI com RStudio habilitado e um tipo de SSO Auth rede. AWS IAM Identity Center deve estar habilitado para a região em que o domínio foi lançado. Para obter mais informações sobre o IAM Identity Center, consulte O que é AWS IAM Identity Center? .

• DomainExecutionRoleArn deve ser o ARN da função criada na etapa anterior.

• ExecutionRoleé o ARN da função atribuída aos usuários no domínio Amazon SageMaker AI.

• vpc-iddeve ser o ID da sua Amazon Virtual Private Cloud. subnet-idsdeve ser uma lista de sub-rede separada por espaços. IDs Para obter informações sobre vpc-id esubnet-ids, consulte VPCs e sub-redes.

• RStudioPackageManagerUrle RStudioConnectUrl são opcionais e devem ser configurados como os URLs do seu servidor RStudio Package Manager e RStudio Connect, respectivamente.

• app-network-access-type deve ser PublicInternetOnly ou VPCOnly.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode SSO \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type <NETWORK_ACCESS_TYPE>

Tipos de conexão

PublicInternet/Tipo de rede direta de Internet

A seguir, mostramos como criar um domínio Amazon SageMaker AI com RStudio habilitado e um tipo de PublicInternet rede.

• DomainExecutionRoleArn deve ser o ARN da função criada na etapa anterior.

• ExecutionRoleé o ARN da função atribuída aos usuários no domínio Amazon SageMaker AI.

• vpc-iddeve ser o ID da sua Amazon Virtual Private Cloud. subnet-idsdeve ser uma lista de sub-rede separada por espaços. IDs Para obter informações sobre vpc-id esubnet-ids, consulte VPCs e sub-redes.

• RStudioPackageManagerUrle RStudioConnectUrl são opcionais e devem ser configurados como os URLs do seu servidor RStudio Package Manager e RStudio Connect, respectivamente.

• auth-mode deve ser SSO ou IAM.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode <AUTH_MODE> \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type PublicInternetOnly

VPCOnly modo

A seguir, mostramos como iniciar um domínio Amazon SageMaker AI com RStudio habilitado e um tipo de VPCOnly rede. Para obter mais informações sobre como usar o tipo VPCOnly de acesso à rede, consulte Conectar os cadernos do Studio em uma VPC para recursos externos.

• DomainExecutionRoleArn deve ser o ARN da função criada na etapa anterior.

• ExecutionRoleé o ARN da função atribuída aos usuários no domínio Amazon SageMaker AI.

• vpc-iddeve ser o ID da sua Amazon Virtual Private Cloud. subnet-idsdeve ser uma lista de sub-rede separada por espaços. IDs Sua sub-rede privada deve ser capaz de acessar a Internet para fazer uma chamada para a Amazon SageMaker AI AWS License Manager e/ou ter endpoints Amazon VPC para Amazon SageMaker AI e. AWS License ManagerPara obter informações sobre endpoints do Amazon VPC, consulte Interface dos endpoints do Amazon VPC Para obter informações sobre vpc-id e, consulte e sub-redes. subnet-ids VPCs

• SecurityGroupsdeve permitir acesso externo à SageMaker IA e aos AWS License Manager endpoints da Amazon.

• auth-mode deve ser SSO ou IAM.

nota

Ao usar endpoints da nuvem privada virtual da Amazon, o grupo de segurança anexado aos endpoints da sua nuvem privada virtual Amazon deve permitir o tráfego de entrada vindo do grupo de segurança que você passa como parte do parâmetro domain-setting da chamada da CLI create-domain.

Com RStudio, a Amazon SageMaker AI gerencia grupos de segurança para você. Isso significa que a Amazon SageMaker AI gerencia as regras do grupo de segurança para garantir RSessions o acesso aos RStudio ServerPro aplicativos. A Amazon SageMaker AI cria uma regra de grupo de segurança por perfil de usuário.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode <AUTH_MODE> \
    --default-user-settings SecurityGroups=<USER_SECURITY_GROUP>,ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings SecurityGroupIds=<DOMAIN_SECURITY_GROUP>,RStudioServerProDomainSettings={DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids "<SUBNET_IDS>" \
    --app-network-access-type VPCOnly --app-security-group-management Service

Nota: O RStudio ServerPro aplicativo é iniciado por um perfil de usuário especial chamadodomain-shared. Como resultado, esse aplicação não é retornado como parte das chamadas de API list-app por nenhum outro perfil de usuário.

Talvez seja necessário aumentar a cota do Amazon VPC em sua conta para aumentar o número de usuários. Para obter mais informações, consulte as Amazon VPC cotas.

Verifique a criação do domínio

Use o comando a seguir para verificar se seu domínio foi criado com um Status de InService. Seu domain-id é anexado ao ARN do domínio. Por exemplo, arn:aws:sagemaker:<REGION>:<ACCOUNT_ID>:domain/<DOMAIN_ID>.

aws sagemaker describe-domain --domain-id <DOMAIN_ID> --region <REGION>