本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
跨账户可发现性
通过探索和访问在其他账户中注册的模型包群组,数据科学家和数据工程师可以提高数据一致性、简化协作并减少重复工作。借助 Amazon SageMaker 模型注册表,您可以跨账户共享模型包组。与资源共享相关的权限分为两类:
可发现性:可发现性是指资源使用者账户能够查看一个或多个资源所有者账户共享的模型包组。只有当资源所有者将必要的资源策略附加到共享模型包组时,才有可能被发现。资源使用者可以在 AWS RAM 用户界面中查看所有共享的模型包组,以及 AWS CLI。
可访问性:可访问性是指资源使用者帐户使用共享模型包群组的能力。例如,如果资源使用者具有必要的权限,他们可以从其他账户注册或部署模型包。
可访问性
如果资源使用者拥有使用共享模型包组的访问权限,则他们可以注册或部署该模型包组的版本。有关资源使用者如何注册共享模型包组的详细信息,请参阅从其他账户注册模型版本。有关资源使用者如何部署共享模型包组的详细信息,请参阅从其他账户部署模型版本。
可发现性
资源所有者可以通过创建资源共享并将资源策略附加到实体来设置模型包组的可发现性。有关如何在中创建常规资源共享的详细步骤 AWS RAM,请参阅AWS RAM文档中的创建资源共享。
按照以下说明使用 AWS RAM 控制台或模型注册表资源策略APIs设置模型包组的可发现性。
查看共享模型包组
在资源所有者完成之前创建资源共享的步骤并且使用者接受共享邀请后,使用者可以在 AWS RAM 控制台中使用 AWS CLI 或查看共享模型包组。
AWS CLI
要查看共享的模型包组,请在模型使用者账户中使用以下命令:
aws sagemaker list-model-package-groups --cross-account-filter-option CrossAccount
AWS RAM 控制台
在 AWS RAM 控制台中,资源所有者和使用者可以查看共享模型包组。资源所有者可以按照您在中创建的查看资源共享中的步骤来查看与使用者共享的模型包组 AWS RAM。资源使用者可以按照查看与您共享的资源共享中的步骤查看所有者共享的模型包组。
解除委托人与资源共享的关联并移除资源共享
资源所有者可以使用或控制台取消委托人与资源共享的关联以获得一组权限,或者删除整个资源共享。 AWS CLI AWS RAM 有关如何解除委托人与资源共享的关联的详细信息,请参阅文档中的更新资源共享。AWS RAM有关如何删除资源共享的详细信息,请参阅AWS RAM文档中的删除资源共享。
AWS CLI
要解除委托人与资源共享的关联,请按如下方式使用命令 dissociate-resource-share:
aws ram disassociate-resource-share --resource-share-arn
<resource-share-arn>
--principals<principal>
要删除资源共享,请delete-resource-share按以下方式使用命令:
aws ram delete-resource-share --resource-share-arn
<resource-share-arn>
AWS RAM 控制台
有关如何解除委托人与资源共享的关联的更多详细信息,请参阅文档中的更新资源共享。AWS RAM有关如何删除资源共享的更多详细信息,请参阅AWS RAM文档中的删除资源共享。
提升权限和资源共享
如果您使用自定义(客户管理)权限,则需要提升权限和关联的资源共享,才能发现模型包组。完成以下步骤以提升权限和资源共享。
要将您的自定义权限提升为可供访问 AWS RAM,请使用以下命令:
aws ram promote-permission-created-from-policy —permission-arn
<permission-arn>
使用以下命令提升资源共享:
aws ram promote-resource-share-created-from-policy --resource-share-arn
<resource-share-arn>
如果您在执行前面的步骤时看到OperationNotPermittedException
错误,则表示该实体不可被发现,但可以访问。例如,如果资源所有者附加了具有代入角色主体(例如)的资源策略“Principal”: {“AWS”: “arn:aws:iam::3333333333:role/Role-1”}
,或者如果资源策略允许“Action”: “*”
,则关联的模型包组不可升级也不可发现。