Einen Amazon-EKS-Cluster in Studio einrichten

Wählen Sie auf der Seite „Zugriff verwalten“ eine vorhandene Domäne aus. Der Studio-Zugriff auf einen HyperPod Cluster erfolgt über eine Domain, und die Domain-Ausführungsrolle ist der IAM-Principal, den Studio verwendet, um auf Ihrem Cluster zu agieren. Weitere Informationen zum Erstellen einer Domain finden Sie unter Anleitung zur Einrichtung von Amazon SageMaker AI.

Weisen Sie Ihrer Ausführungsrolle von der IAM-Konsole aus die folgenden Berechtigungen zu.

Informationen zu SageMaker AI-Ausführungsrollen und deren Bearbeitung finden Sie unterGrundlegendes zu Domainbereichsberechtigungen und Ausführungsrollen.

Informationen zum Hinzufügen von Richtlinien zu einem IAM-Benutzer oder einer IAM-Gruppe finden Sie unter Hinzufügen und Entfernen von IAM-Identitätsberechtigungen.

Bevor Sie die Richtlinie anhängen, ersetzen Sie beide Beispiel-ARNs durch Ihre eigenen:

Dies sind zwei verschiedene Ressourcen mit zwei verschiedenen ARNs. Suchen Sie den HyperPod Cluster-ARN in der SageMaker AI-Konsole und den Amazon EKS-Cluster-ARN in der Amazon EKS-Konsole. Wenn Sie die Beispielwerte unverändert lassen, kann Studio Ihren Cluster nicht beschreiben und die Registerkarte „Aufgaben“ wird nicht geladen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DescribeHyperpodClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeCluster"
            ],
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:cluster/hyperpod-cluster-name"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:CompleteLayerUpload",
                "ecr:GetAuthorizationToken",
                "ecr:UploadLayerPart",
                "ecr:InitiateLayerUpload",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "cloudwatch:GetMetricData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "UseEksClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:AccessKubernetesApi",
                "eks:MutateViaKubernetesApi"
            ],
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name"
        },
        {
            "Sid": "DescribeSpacesAddon",
            "Effect": "Allow",
            "Action": "eks:DescribeAddon",
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name/*"
        },
        {
            "Sid": "ListClustersPermission",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListClusters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:TerminateSession"
            ],
            "Resource": "*"
        }
    ]
}

Hängen Sie Cluster-Zugriffsrichtlinien an die Ausführungsrolle an. Die IAM-Richtlinie im vorherigen Schritt ermöglicht es der Ausführungsrolle, die APIs aufzurufen. AWS Sie erteilt der Rolle keine Berechtigungen innerhalb des Kubernetes-Clusters. Cluster-access Richtlinien tun das, und nur eine Rolle mit den richtigen angehängten Rollen erreicht den Cluster. Hängen Sie sie über „Zugriff verwalten“, in der Domain oder im Benutzerprofil an.

Wählen Sie die Ausführungsrolle für die Domain oder das Benutzerprofil aus, für die Sie Zugriff gewähren, und wählen Sie dann die Richtlinien aus, die Ihre Benutzer benötigen. Wählen Sie aus, ob Sie den Zugriff auf einen Namespace oder auf den gesamten Cluster einschränken möchten. Wenn Teams einen Cluster gemeinsam nutzen, wird der Bereich auf einen Namespace beschränkt, und speichern Sie dann. Durch den Geltungsbereich eines Namespaces wird auch eingeschränkt, welche Aufgaben diese Benutzer in Studio sehen können. Informationen darüber, was die einzelnen Richtlinien zulassen, wie Sie den Zugriff einschränken und wie Sie stattdessen einen benutzerdefinierten Satz von Berechtigungen gewähren, finden Sie unter. Beschränken Sie die Aufgabenansicht in Studio für EKS-Cluster

Wenn Sie den Zugriff auf diese Weise gewähren, wird für Sie der Amazon EKS-Zugriffseintrag für die Ausführungsrolle erstellt, sodass in der Amazon EKS-Konsole kein separater Schritt erforderlich ist. Die Konzepte hinter dem Zugriffsmodell finden Sie unter Gewähren Sie IAM-Benutzern Zugriff auf Kubernetes mit EKS-Zugriffseinträgen.

(Optional) Um ein reibungsloseres Erlebnis zu gewährleisten, empfehlen wir Ihnen, Ihren Clustern Tags hinzuzufügen. Informationen zum Hinzufügen von Tags finden Einen SageMaker HyperPod Cluster bearbeiten Sie unter So aktualisieren Sie Ihren Cluster mithilfe der SageMaker AI-Konsole.

Kennzeichnen Sie Ihren Amazon Managed Grafana-Workspace mit Ihrer Studio-Domain. Verwenden Sie dieses Tag, um direkt von Ihrem Cluster in Studio aus eine Verknüpfung zu Ihrem Grafana-Workspace herzustellen. Fügen Sie Ihrem Cluster das folgende Tag hinzu, um ihn mit Ihrer Grafana-Workspace-ID zu identifizieren. ws-id

Tag-Schlüssel = „grafana-workspace“, Tag-Wert = „ws-id“.

Speichern Sie die YAML-Konfiguration in einer Datei mit dem Namen cluster-role.yaml.

Wenden Sie die Konfiguration mithilfe der kubectl Kubernetes-Website an:

kubectl apply -f cluster-role.yaml

Überprüfen Sie die Konfiguration:

kubectl get clusterrole pods-events-crd-cluster-role
kubectl get clusterrolebinding pods-events-crd-cluster-role-binding

Weisen Sie der pods-events-crd-cluster-level Gruppe Benutzer über Ihren Identitätsanbieter oder IAM zu.