Richten Sie KI-Apps für Partner ein

Erteilen von Berechtigungen für AWS Marketplace. Administratoren von Partner-KI-Apps benötigen diese Berechtigungen, um Abonnements für Partner-KI-Apps zu erwerben. AWS Marketplace Um Zugriff darauf zu erhaltenAWS Marketplace, müssen Administratoren die AWSMarketplaceManageSubscriptions verwaltete Richtlinie an die IAM-Rolle anfügen, mit der sie auf die SageMaker-AI-Konsole zugreifen und die App kaufen. Weitere Informationen zu verwalteten AWSMarketplaceManageSubscriptions-Richtlinie finden Sie unter AWS-verwaltete Richtlinien für AWS Marketplace-Käufer. Informationen zum Hinzufügen von verwalteten Richtlinien finden Sie unter Hinzufügen und Entfernen von IAM-Identitätsberechtigungen.

Erteilen Sie SageMaker AI die Erlaubnis, Operationen im Namen der Administratoren mithilfe anderer auszuführen. AWS-Services Administratoren müssen SageMaker AI Berechtigungen erteilen, um diese Services und die Ressourcen, auf die sie zugreifen, nutzen zu können. In der folgenden Richtliniendefinition wird demonstriert, wie Sie die erforderlichen Berechtigungen für Partner-AI Apps gewähren. Diese Berechtigungen werden zusätzlich zu den vorhandenen Berechtigungen für die Administratorrolle benötigt. Weitere Informationen finden Sie unter So verwenden Sie SageMaker AI-Ausführungsrollen.

KI-Apps von Partnern benötigen eine Ausführungsrolle, um mit Ressourcen in der zu interagierenAWS-Konto. Administratoren können diese Ausführungsrolle mithilfe der AWS CLI erstellen. Die Partner AI App verwendet diese Rolle, um Aktionen im Zusammenhang mit der Funktionalität der Partner AI App abzuschließen.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Erstellen Sie die AWS License Manager serviceverknüpfte Rolle, indem Sie die unter Erstellen einer serviceverknüpften Rolle für License Manager ausführen. 

Erteilen Sie der Partner AI App Berechtigungen für den Zugriff auf den License Manager mithilfe vonAWS CLI. Diese Berechtigungen sind für den Zugriff auf die Lizenzen für die Partner AI App erforderlich. Dadurch kann die Partner AI App den Zugriff auf die Partner AI App-Lizenz überprüfen.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Wenn die Partner AI-App Zugriff auf einen Amazon S3 S3-Bucket benötigt, fügen Sie der Ausführungsrolle Amazon S3 S3-Berechtigungen hinzu. Weitere Informationen finden Sie unter Erforderliche Berechtigungen für API-Operationen von Amazon S3.

Gewähren Sie SageMaker AI Berechtigungen, um Operationen in Ihrem Namen mithilfe anderer auszuführen. AWS-Services Administratoren müssen SageMaker AI Berechtigungen erteilen, um diese Services und die Ressourcen, auf die sie zugreifen, nutzen zu können. Administratoren gewähren SageMaker AI diese Berechtigungen mithilfe einer IAM-Ausführungsrolle. Weitere Informationen zu IAM-Rollen finden Sie unter IAM-Rollen. In der folgenden Richtliniendefinition wird demonstriert, wie Sie die erforderlichen Berechtigungen für Partner-AI Apps gewähren. Diese Richtlinie kann zur Ausführungsrolle des Benutzerprofils hinzugefügt werden.  Weitere Informationen finden Sie unter So verwenden Sie SageMaker AI-Ausführungsrollen.

(Optional) Wenn Sie Partner-KI-Apps von Studio aus starten, fügen Sie die sts:TagSession Vertrauensrichtlinie wie folgt der Rolle hinzu, mit der Studio oder die Partner-AI-Apps direkt gestartet wurden. Dadurch wird sichergestellt, dass die Identität ordnungsgemäß weitergegeben werden kann.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Optional) Wenn Sie das SDK einer Partner-KI-App verwenden, um auf Funktionen in SageMaker AI zuzugreifen, fügen Sie der Rolle, die zur Ausführung des SDK-Codes verwendet wird, die folgende CallPartnerAppApi Berechtigung hinzu. Wenn Sie den SDK-Code von Studio aus ausführen, fügen Sie die Berechtigung zur Studio-Ausführungsrolle hinzu. Wenn Sie den Code von einem anderen Ort als Studio aus ausführen, fügen Sie die Berechtigung zur IAM-Rolle hinzu, die mit dem Notebook verwendet wird. Dadurch kann der Benutzer über das SDK der Partner AI App auf die Funktionen der Partner AI App zugreifen.