View a markdown version of this page

Benutzer hinzufügen und Dienstkonten einrichten - Amazon SageMaker KI
Feingranulierte Zugriffskontrolle — unsere EmpfehlungPrivate und öffentliche Räume

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Benutzer hinzufügen und Dienstkonten einrichten

Feingranulierte Zugriffskontrolle — unsere Empfehlung

Benutzer werden anhand ihres Kubernetes-Benutzernamens unterschieden. Der Kubernetes-Benutzername des Benutzers ist in seinem Access-Eintrag definiert. Um sicherzustellen, dass zwei menschliche Benutzer unterschiedliche Benutzernamen haben, gibt es zwei Optionen:

  1. Empfehlung — Mehrere menschliche Benutzer können dieselbe Rolle verwenden, solange jeder seinen eigenen eindeutigen Sitzungsnamen hat, der zwischen den Sitzungen bestehen bleibt. Standardmäßig haben Kubernetes-Benutzernamen für IAM-Rollen das folgende Format. arn:aws:sts::{ACCOUNT_ID}:assumed-role/{ROLE_NAME}/{SESSION_NAME} Mit dieser Standardeinstellung werden Benutzer bereits anhand des Sitzungsnamens unterschieden. Ein Administrator hat mehrere Möglichkeiten, eindeutige Sitzungsnamen pro Benutzer durchzusetzen.

    • SSO-Anmeldung — Benutzer, die die SSO-Anmeldung verwenden, haben standardmäßig einen Sitzungsnamen, der mit ihrem AWS Benutzernamen verknüpft ist

    • Zentraler Service für den Verkauf von Zugangsdaten — Unternehmenskunden haben möglicherweise einen internen Dienst zum Verkauf von Anmeldeinformationen, den Benutzer anrufen können, um Anmeldeinformationen mit ihrer Identität zu erhalten.

    • Rollenbasierte Durchsetzung — Erfordern Sie, dass IAM-Benutzer ihren Sitzungsnamen aws:username als ihre Rolle angeben, wenn sie eine IAM-Rolle in Ihrem Konto übernehmen. AWS-Konto Die Dokumentation dazu finden Sie hier: https://aws.amazon.com/blogs/security/easily-control-naming-individual-iam-role-sessions/

  2. Wenn zwei Datenwissenschaftler unterschiedliche Zugriffseinträge verwenden (unterschiedliche IAM-Rolle oder Benutzer), werden sie immer als unterschiedliche Benutzer gezählt.

Zugangseintrag wird erstellt

Erforderliche IAM-Richtlinie für die Rolle des Datenwissenschaftlers:

  • eks:DescribeCluster

Erforderliche Richtlinien für den Zugriff

  • AmazonSagemakerHyperpodSpacePolicy- Auf den Namespace beschränkt, sollte DS Leerzeichen in erstellen

  • AmazonSagemakerHyperpodSpaceTemplatePolicy- auf den Namespace „jupyter-k8s-shared“ beschränkt

  • AmazonSagemakerHyperpodUserClusterPolicy- auf Cluster beschränkt

Private und öffentliche Räume

Wir unterstützen zwei Arten von Sharing-Mustern: „Öffentlich“ und „OwnerOnly“. Sowohl die Felder „AccessType“ als auch „OwnershipType“ verwenden diese beiden Werte.

  • AccessType: Auf öffentliche Bereiche kann jeder zugreifen, der über Berechtigungen im Namespace verfügt. Auf öffentliche Bereiche OwnerOnly können nur der Ersteller des Bereichs sowie Administratorbenutzer zugreifen. Administratorbenutzer werden anhand der folgenden Kriterien definiert:

  • OwnershipType: Öffentliche Bereiche können modified/deleted von jedem eingerichtet werden, der über Berechtigungen für den Namespace verfügt, OwnerOnly entweder modified/deleted vom Ersteller oder vom Administrator.

Admin-Benutzer werden definiert durch:

  1. Teil der system:masters Kubernetes-Gruppe

  2. Teil der Kubernetes-Gruppe, die in der Umgebungsvariablen CLUSTER_ADMIN_GROUP im Helmdiagramm definiert ist.

Die Gruppen eines Benutzers können mithilfe von EKS-Zugriffseinträgen konfiguriert werden. Ein Bereich kann als „Öffentlich“ oder „OwnerOnly“ definiert werden, indem die Spezifikation im Objekt konfiguriert wird:

apiVersion: workspace.jupyter.org/v1alpha1
kind: Workspace
metadata:
  labels:
    app.kubernetes.io/name: jupyter-k8s
  name: example-workspace
spec:
  displayName: "Example Workspace"
  image: "public.ecr.aws/sagemaker/sagemaker-distribution:3.4.2-cpu"
  desiredStatus: "Running"
  ownershipType: "Public"/"OwnerOnly"
  accessType: "Public"/"OwnerOnly"
  # more fields here