Verwenden der attributbasierten Zugriffskontrolle (ABAC) für das Multi-Tenancy-Training

Aktivieren der Sitzungs-Tag-Verkettung für ABAC

1. Import boto3 und das Python-SDK. SageMaker ABAC-enabled Die Isolierung von Trainingsjobs ist nur in Version 2.217 oder höher des SageMaker AI Python SDK verfügbar.

   import boto3
   
   from sagemaker.train import ModelTrainer
   from sagemaker.train.configs import InputData, CheckpointConfig
   from sagemaker.core.helper.session_helper import Session
   from sagemaker.core.shapes import OutputDataConfig
   from sagemaker.train.configs import Compute

2. Richten Sie einen AWS STS SageMaker AI-Client ein, um die Sitzungs-Tags mit Mandanten-Labels zu verwenden. Sie können den Tag-Wert ändern, um einen anderen Mandanten anzugeben.

   # Start an AWS STS client
   sts_client = boto3.client('sts')
   
   # Define your tenants using tags
   # The session tag key must match the principal tag key in your execution role policy
   tags = []
   tag = {}
   tag['Key'] = "tenant-id"
   tag['Value'] = "example-tenant"
   tags.append(tag)
   
   # Have AWS STS assume your ABAC-enabled job creation role
   response = sts_client.assume_role(
       RoleArn="arn:aws:iam::<account-id>:role/<your-training-job-creation-role>",
       RoleSessionName="SessionName",
       Tags=tags)
   credentials = response['Credentials']
   
   # Create a client with your job creation role (which was assumed with tags)
   sagemaker_client = boto3.client(
       'sagemaker',
       aws_access_key_id=credentials['AccessKeyId'],
       aws_secret_access_key=credentials['SecretAccessKey'],
       aws_session_token=credentials['SessionToken']
   )
   sagemaker_session = Session(sagemaker_client=sagemaker_client)

   Beim Anhängen der Tags "tenant-id=example-tenant" an die Rolle zur Joberstellung werden diese Tags von der Ausführungsrolle extrahiert, sodass die folgende Richtlinie verwendet wird:

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::your-input-s3-bucket/example-tenant/*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::your-output-s3-bucket/example-tenant/*",
               "Effect": "Allow"
           },
           {
               "Action": "s3:ListBucket",
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }
   

3. Definieren Sie a ModelTrainer , um mithilfe des SageMaker Python-SDK einen Trainingsjob zu erstellen. Stellen Sie enable_session_tag_chaining den True Wert auf ein, damit Ihre Rolle für die Ausführung von SageMaker KI-Trainings die Tags aus Ihrer Rolle zur Schaffung von Arbeitsplätzen abrufen kann.

   # Specify your training input
   trainingInput = InputData(
       channel_name='training',
       data_source='s3://<your-input-bucket>/example-tenant'
   )
   
   # Specify your training job execution role 
   execution_role_arn = "arn:aws:iam::<account-id>:role/<your-training-job-execution-role>"
   
   # Define your model trainer with session tag chaining enabled
   model_trainer = ModelTrainer(
       training_image="<your-training-image-uri>",
       role=execution_role_arn,
       compute=Compute(
           instance_type='ml.m4.xlarge',
           instance_count=1,
           volume_size_in_gb=20
       ),
       sagemaker_session=sagemaker_session,
       output_data_config=OutputDataConfig(s3_output_path="s3://<your-output-bucket>/example-tenant"),
       tags=[{"Key": "sagemaker:EnableSessionTagChaining", "Value": "true"}]
   )
   
   model_trainer.train(input_data_config=[trainingInput])