步骤 2：设置权限

要使用 Amazon Lookout for Vision，您需要获得 Lookout for Vision 控制台 AWS 、软件开发工具包操作和用于模型训练的 Amazon S3 存储桶的访问权限。

注意

如果您仅使用 AWS SDK 操作，则可以使用限 AWS 于 SDK 操作的策略。有关更多信息，请参阅 设置 SDK 权限。

使用 AWS 托管策略设置控制台访问权限

使用以下 AWS 托管策略为 Amazon Lookout for Vision 控制台和 SDK 操作应用适当的访问权限。

• AmazonLookoutVisionConsoleFullAccess— 允许完全访问亚马逊 Lookout for Vision 控制台和 SDK 操作。您需要 AmazonLookoutVisionConsoleFullAccess 权限才能创建控制台桶。有关更多信息，请参阅 步骤 3：创建控制台桶。

• AmazonLookoutVisionConsoleReadOnlyAccess— 允许对 Amazon Lookout for Vision 控制台和 SDK 操作进行只读访问。

若要分配权限，请参阅 分配权限。

有关 AWS 托管策略的信息，请参阅 AWS 托管策略。

设置 Amazon S3 桶权限

Amazon Lookout for Vision 使用 Amazon S3 桶来存储以下文件：

• 数据集图像：用于训练模型的图像。有关更多信息，请参阅 创建您的数据集。

• Amazon SageMaker Ground Truth 格式化清单文件。例如， SageMaker GroundTruth 任务输出的清单文件。有关更多信息，请参阅 使用 Amazon G SageMaker round Truth 清单文件创建数据集。

• 模型训练的输出。

如果您使用控制台，Lookout for Vision 会创建一个 Amazon S3 桶（控制台桶）来管理您的项目。LookoutVisionConsoleReadOnlyAccess 和 LookoutVisionConsoleFullAccess 托管式策略包括了对控制台桶的 Amazon S3 访问权限。

您可以使用控制台存储桶来存储数据集图像和 G SageMaker round Truth 格式的清单文件。或者，您可以使用其他 Amazon S3 桶。存储桶必须归您的 AWS 账户所有，并且必须位于您使用 Lookout for Vision 的 AWS 区域。

要使用其他桶，请将以下策略添加到所需的用户或组。使用所需的桶名称替换 my-bucket。有关添加 IAM 策略的信息，请参阅创建 IAM 策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LookoutVisionS3BucketAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],            
            "Resource": [
                "arn:aws:s3:::my-bucket"
            ]
        },
        {
            "Sid": "LookoutVisionS3ObjectAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::my-bucket/*"
            ]
        }
    ]
}

若要分配权限，请参阅 分配权限。

分配权限

要提供访问权限，请为您的用户、组或角色添加权限：

• 中的用户和群组 AWS IAM Identity Center：

  创建权限集合。按照《AWS IAM Identity Center 用户指南》中创建权限集的说明进行操作。

• 通过身份提供商在 IAM 中托管的用户：

  创建适用于身份联合验证的角色。按照《IAM 用户指南》中为第三方身份提供商创建角色（联合身份验证）的说明进行操作。

• IAM 用户：

  • 创建您的用户可以担任的角色。按照《IAM 用户指南》中为 IAM 用户创建角色的说明进行操作。

  • （不推荐使用）将策略直接附加到用户或将用户添加到用户组。按照《IAM 用户指南》中向用户添加权限（控制台）中的说明进行操作。