View a markdown version of this page

Configure las funciones de servicio para AWS Clean Rooms ML - AWS Clean Rooms
Configure las funciones de servicio para crear modelos similaresConfigure los roles de servicio para el modelado personalizado

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configure las funciones de servicio para AWS Clean Rooms ML

Los roles necesarios para realizar un modelado similar difieren de los necesarios para usar un modelo personalizado. En las siguientes secciones se describen las funciones necesarias para realizar cada tarea.

Configure las funciones de servicio para crear modelos similares

Creación de rol de servicio para leer datos de entrenamiento

AWS Clean Rooms usa una función de servicio para leer los datos de entrenamiento. Puede crear este rol mediante la consola si dispone de los permisos de IAM necesarios. Si no tiene permisos CreateRole, pida al administrador que cree el rol de servicio.

Para crear un rol de servicio para entrenar un conjunto de datos

  1. Inicie sesión en la consola de IAM (https://console.aws.amazon.com/iam/) con su cuenta de administrador.

  2. En Administración de acceso, seleccione Políticas.

  3. Elija Create Policy.

  4. En el Editor de políticas, seleccione la pestaña JSON y, a continuación, copie y pegue la siguiente política.

    nota

    El siguiente ejemplo de política admite los permisos necesarios para leer AWS Glue los metadatos y sus correspondientes datos de Amazon S3. No obstante, quizás tenga que modificar esta política en función de cómo haya configurado los datos de S3. Esta política no incluye una clave de KMS para descifrar los datos.

    Sus AWS Glue recursos y los recursos subyacentes de Amazon S3 deben coincidir con los de la AWS Clean Rooms colaboración. Región de AWS

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:BatchGetPartition",
                "glue:GetUserDefinedFunctions"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:database/databases",
                "arn:aws:glue:us-east-1:111122223333:table/databases/tables",
                "arn:aws:glue:us-east-1:111122223333:catalog",
                "arn:aws:glue:us-east-1:111122223333:database/default"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "glue:CreateDatabase"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:database/default"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::bucket"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "111122223333"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "111122223333"
                    ]
                }
            }
        }
    ]
}

    Si es necesario usar una clave KMS para descifrar los datos, añada esta instrucción de AWS KMS a la plantilla anterior:

    {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
    ]
}

  5. Sustituya cada uno placeholder por su propia información:

    • region: nombre del Región de AWS. Por ejemplo, us-east-1.

    • accountId— El Cuenta de AWS ID en el que se encuentra el bucket de S3.

    • database/databases, table/databases/tablescatalog, ydatabase/default: la ubicación de los datos de entrenamiento a los que se AWS Clean Rooms debe acceder.

    • bucket— El nombre del recurso de Amazon (ARN) del bucket de S3. Puede encontrar el Nombre de recurso de Amazon (ARN) en la pestaña Propiedades del bucket en Amazon S3.

    • bucketFolders— El nombre de las carpetas específicas del bucket de S3 a AWS Clean Rooms las que es necesario acceder.

  6. Elija Siguiente.

  7. En Revisar y crear, introduzca un Nombre de política y una Descripción y revise el Resumen.

  8. Elija Crear política.

    Has creado una política para AWS Clean Rooms.

  9. En Administración de accesos, elija Roles.

    Con Roles, puede crear credenciales a corto plazo, que son las recomendadas aumentar la seguridad. También puede elegir Usuarios para crear credenciales a largo plazo.

  10. Elija Crear rol.

  11. En el asistente Crear rol, en Tipo de entidad de confianza, elija Política de confianza personalizada.

  12. Copie y pegue la siguiente política de confianza personalizada en el editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": { 
                    "aws:SourceAccount": ["111122223333"]
                },
                "ArnLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:us-east-1:111122223333:training-dataset/*"
                }
            }
        }
    ]
}

    El siempre SourceAccount es tuyo Cuenta de AWS. El SourceArn puede limitarse a un conjunto de datos de entrenamiento específico, pero solo después de crear ese conjunto de datos. Como aún no conoces el ARN del conjunto de datos de entrenamiento, el comodín se especifica aquí.

    accountIdes el identificador Cuenta de AWS que contiene los datos de entrenamiento.

  13. Elija Siguiente y, en Agregar permisos, introduzca el nombre de la política que acaba de crear. (es posible que tenga que volver a cargar la página).

  14. Seleccione la casilla de verificación situada junto al nombre de la política que creó y, a continuación, elija Siguiente.

  15. En Nombre, revisar y crear, introduzca el Nombre del rol y la Descripción.

    nota

    El Nombre del rol debe coincidir con el patrón de los permisos de passRole concedidos al miembro que puede realizar consultas y recibir resultados y a roles de miembros.

    1. Revise la sección Seleccionar entidades de confianza y edítela si es necesario.

    2. Revise los permisos en Agregar permisos y edítelos si es necesario.

    3. Revise las Etiquetas y añada etiquetas si es necesario.

    4. Elija Crear rol.

Ha creado el rol de servicio para AWS Clean Rooms.

Creación de un rol de servicio para escribir un segmento similar

AWS Clean Rooms usa una función de servicio para escribir segmentos similares en un bucket. Puede crear este rol mediante la consola si dispone de los permisos de IAM necesarios. Si no tiene permisos CreateRole, pida al administrador que cree el rol de servicio.

Creación de un rol de servicio para escribir un segmento similar

  1. Inicia sesión en la consola de IAM (https://console.aws.amazon.com/iam/) con tu cuenta de administrador.

  2. En Administración de acceso, seleccione Políticas.

  3. Elija Create Policy.

  4. En el Editor de políticas, seleccione la pestaña JSON y, a continuación, copie y pegue la siguiente política.

    nota

    El siguiente ejemplo de política admite los permisos necesarios para leer AWS Glue los metadatos y sus correspondientes datos de Amazon S3. Sin embargo, es posible que deba modificar esta política en función de cómo haya configurado sus datos de Amazon S3. Esta política no incluye una clave de KMS para descifrar los datos.

    Sus AWS Glue recursos y los recursos subyacentes de Amazon S3 deben coincidir con los de la AWS Clean Rooms colaboración. Región de AWS

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
    {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::buckets"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        }
  ]
}

    Si es necesario usar una clave de KMS para cifrar los datos, agregue esta instrucción de AWS KMS a la plantilla:

    {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey*",
                "kms:ReEncrypt*",
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

  5. Sustituya cada uno placeholder por su propia información:

    • buckets— El nombre del recurso de Amazon (ARN) del bucket de S3. Puede encontrar el Nombre de recurso de Amazon (ARN) en la pestaña Propiedades del bucket en Amazon S3.

    • accountId— El Cuenta de AWS ID en el que se encuentra el bucket de S3.

    • bucketFolders— El nombre de las carpetas específicas del bucket de S3 a AWS Clean Rooms las que es necesario acceder.

    • region: nombre del Región de AWS. Por ejemplo, us-east-1.

    • keyId— La clave de KMS necesaria para cifrar los datos.

  6. Elija Siguiente.

  7. En Revisar y crear, introduzca un Nombre de política y una Descripción y revise el Resumen.

  8. Elija Crear política.

    Ha creado una política para AWS Clean Rooms.

  9. En Administración de accesos, elija Roles.

    Con Roles, puede crear credenciales a corto plazo, que son las recomendadas aumentar la seguridad. También puede elegir Usuarios para crear credenciales a largo plazo.

  10. Elija Crear rol.

  11. En el asistente Crear rol, en Tipo de entidad de confianza, elija Política de confianza personalizada.

  12. Copie y pegue la siguiente política de confianza personalizada en el editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": { 
                    "aws:SourceAccount": ["111122223333"]

                },
                "ArnLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:us-east-1:111122223333:configured-audience-model/*"
                }
            }
        }
    ]
}

    El siempre SourceAccount es tuyo Cuenta de AWS. El SourceArn puede limitarse a un conjunto de datos de entrenamiento específico, pero solo después de crear ese conjunto de datos. Como aún no conoces el ARN del conjunto de datos de entrenamiento, el comodín se especifica aquí.

  13. Elija Siguiente.

  14. Seleccione la casilla de verificación situada junto al nombre de la política que creó y, a continuación, elija Siguiente.

  15. En Nombre, revisar y crear, introduzca el Nombre del rol y la Descripción.

    nota

    El Nombre del rol debe coincidir con el patrón de los permisos de passRole concedidos al miembro que puede realizar consultas y recibir resultados y a roles de miembros.

    1. Revise la sección Seleccionar entidades de confianza y edítela si es necesario.

    2. Revise los permisos en Agregar permisos y edítelos si es necesario.

    3. Revise las Etiquetas y añada etiquetas si es necesario.

    4. Elija Crear rol.

Has creado el rol de servicio para. AWS Clean Rooms

Creación de rol de servicio para leer datos iniciales

AWS Clean Rooms usa una función de servicio para leer los datos iniciales. Puede crear este rol mediante la consola si dispone de los permisos de IAM necesarios. Si no tiene permisos CreateRole, pida al administrador que cree el rol de servicio.

Para crear un rol de servicio para leer los datos iniciales que están almacenados en un bucket de S3.

  1. Inicia sesión en la consola de IAM (https://console.aws.amazon.com/iam/) con tu cuenta de administrador.

  2. En Administración de acceso, seleccione Políticas.

  3. Elija Create Policy.

  4. En el Editor de políticas, seleccione la pestaña JSON y, a continuación, copie y pegue una de las siguientes políticas.

    nota

    El siguiente ejemplo de política admite los permisos necesarios para leer AWS Glue los metadatos y sus correspondientes datos de Amazon S3. Sin embargo, es posible que deba modificar esta política en función de cómo haya configurado sus datos de Amazon S3. Esta política no incluye una clave de KMS para descifrar los datos.

    Sus AWS Glue recursos y los recursos subyacentes de Amazon S3 deben coincidir con los de la AWS Clean Rooms colaboración. Región de AWS

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::buckets"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "accountId"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "accountId"
                    ]
                }
            }
        }
    ]
}
    nota

    La siguiente política de ejemplo admite los permisos necesarios para leer los resultados de una consulta SQL y utilizarlos como datos de entrada. No obstante, es posible que tenga que modificar esta política en función de cómo esté estructurada la consulta. Esta política no incluye una clave de KMS para descifrar los datos.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCleanRoomsStartQuery",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetCollaborationAnalysisTemplate",
                "cleanrooms:GetSchema",
                "cleanrooms:StartProtectedQuery"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowCleanRoomsGetAndUpdateQuery",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetProtectedQuery",
                "cleanrooms:UpdateProtectedQuery"
            ],
            "Resource": [
                "arn:aws:cleanrooms:us-east-1:111122223333:membership/queryRunnerMembershipId"
            ]
        }
    ]
}

    Si es necesario usar una clave KMS para descifrar los datos, añada esta instrucción de AWS KMS a la plantilla:

    {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

  5. Sustituya cada uno placeholder por su propia información:

    • buckets— El nombre del recurso de Amazon (ARN) del bucket de S3. Puede encontrar el Nombre de recurso de Amazon (ARN) en la pestaña Propiedades del bucket en Amazon S3.

    • accountId— El Cuenta de AWS ID en el que se encuentra el bucket de S3.

    • bucketFolders— El nombre de las carpetas específicas del bucket de S3 a AWS Clean Rooms las que es necesario acceder.

    • region: nombre del Región de AWS. Por ejemplo, us-east-1.

    • queryRunnerAccountId— El Cuenta de AWS ID de la cuenta que ejecutará las consultas.

    • queryRunnerMembershipId— El ID de membresía del miembro que puede realizar la consulta. Puede encontrar el ID de pertenencia en la pestaña Detalles de la colaboración. Esto garantiza AWS Clean Rooms que asuma el rol solo cuando este miembro ejecute el análisis en esta colaboración.

    • keyId— La clave de KMS necesaria para cifrar los datos.

  6. Elija Siguiente.

  7. En Revisar y crear, introduzca un Nombre de política y una Descripción y revise el Resumen.

  8. Elija Crear política.

    Ha creado una política para AWS Clean Rooms.

  9. En Administración de accesos, elija Roles.

    Con Roles, puede crear credenciales a corto plazo, que son las recomendadas aumentar la seguridad. También puede elegir Usuarios para crear credenciales a largo plazo.

  10. Elija Crear rol.

  11. En el asistente Crear rol, en Tipo de entidad de confianza, elija Política de confianza personalizada.

  12. Copie y pegue la siguiente política de confianza personalizada en el editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": {
                    "aws:SourceAccount": ["111122223333"]

                },
                "ArnLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:us-east-1:111122223333:audience-generation-job/*"
                }
            }
        }
    ]
}

    El siempre SourceAccount es tuyo Cuenta de AWS. El SourceArn puede limitarse a un conjunto de datos de entrenamiento específico, pero solo después de crear ese conjunto de datos. Como aún no conoces el ARN del conjunto de datos de entrenamiento, el comodín se especifica aquí.

  13. Elija Siguiente.

  14. Seleccione la casilla de verificación situada junto al nombre de la política que creó y, a continuación, elija Siguiente.

  15. En Nombre, revisar y crear, introduzca el Nombre del rol y la Descripción.

    nota

    El Nombre del rol debe coincidir con el patrón de los permisos de passRole concedidos al miembro que puede realizar consultas y recibir resultados y a roles de miembros.

    1. Revise la sección Seleccionar entidades de confianza y edítela si es necesario.

    2. Revise los permisos en Agregar permisos y edítelos si es necesario.

    3. Revise las Etiquetas y añada etiquetas si es necesario.

    4. Elija Crear rol.

Ha creado el rol de servicio para AWS Clean Rooms.

Configure los roles de servicio para el modelado personalizado

Cree un rol de servicio para el modelado de aprendizaje automático personalizado: configuración de aprendizaje automático

AWS Clean Rooms usa una función de servicio para controlar quién puede crear una configuración de ML personalizada. Puede crear este rol mediante la consola si dispone de los permisos de IAM necesarios. Si no tiene permisos CreateRole, pida al administrador que cree el rol de servicio.

Esta función permite utilizar la acción PutMLConfiguration.

Crear un rol de servicio que permita la creación de una configuración de ML personalizada

  1. Inicie sesión en la consola de IAM (https://console.aws.amazon.com/iam/) con su cuenta de administrador.

  2. En Administración de acceso, seleccione Políticas.

  3. Elija Create Policy.

  4. En el Editor de políticas, seleccione la pestaña JSON y, a continuación, copie y pegue la siguiente política.

    nota

    El siguiente ejemplo de política admite los permisos necesarios para acceder a un bucket de S3 y escribir datos en él, así como para publicar CloudWatch las métricas. Sin embargo, es posible que deba modificar esta política en función de cómo haya configurado sus datos de Amazon S3. Esta política no incluye una clave de KMS para descifrar los datos.

    Sus recursos de Amazon S3 deben coincidir con los Región de AWS de la AWS Clean Rooms colaboración.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3ObjectWriteForExport",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "111122223333"
                    ]
                }
            }
        },
        {
            "Sid": "AllowS3KMSEncryptForExport",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey*"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/keyId"
            ],
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucket*"
                }
            }
        },
        {
            "Sid": "AllowCloudWatchMetricsPublishingForTrainingJobs",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringLike": {
                    "cloudwatch:namespace": "/aws/cleanroomsml/*"
                }
            }
        },
        {
            "Sid": "AllowCloudWatchLogsPublishingForTrainingOrInferenceJobs",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-1:111122223333:log-group:/aws/cleanroomsml/*"
            ]
        }
    ]
}

  5. Sustituya cada uno placeholder por su propia información:

    • bucket— El nombre del recurso de Amazon (ARN) del bucket de S3. Puede encontrar el Nombre de recurso de Amazon (ARN) en la pestaña Propiedades del bucket en Amazon S3.

    • region: nombre del Región de AWS. Por ejemplo, us-east-1.

    • accountId— El Cuenta de AWS ID en el que se encuentra el bucket de S3.

    • keyId— La clave de KMS necesaria para cifrar los datos.

  6. Elija Siguiente.

  7. En Revisar y crear, introduzca un Nombre de política y una Descripción y revise el Resumen.

  8. Elija Crear política.

    Ha creado una política para AWS Clean Rooms.

  9. En Administración de accesos, elija Roles.

    Con Roles, puede crear credenciales a corto plazo, que son las recomendadas aumentar la seguridad. También puede elegir Usuarios para crear credenciales a largo plazo.

  10. Elija Crear rol.

  11. En el asistente Crear rol, en Tipo de entidad de confianza, elija Política de confianza personalizada.

  12. Copie y pegue la siguiente política de confianza personalizada en el editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:cleanrooms:us-east-1:111122223333:membership/membershipID"
                }
            }
        }
    ]
}

    El siempre SourceAccount es tuyo Cuenta de AWS. El SourceArn puede limitarse a un conjunto de datos de entrenamiento específico, pero solo después de crear ese conjunto de datos. Como aún no conoces el ARN del conjunto de datos de entrenamiento, el comodín se especifica aquí.

  13. Elija Siguiente.

  14. Seleccione la casilla de verificación situada junto al nombre de la política que creó y, a continuación, elija Siguiente.

  15. En Nombre, revisar y crear, introduzca el Nombre del rol y la Descripción.

    nota

    El Nombre del rol debe coincidir con el patrón de los permisos de passRole concedidos al miembro que puede realizar consultas y recibir resultados y a roles de miembros.

    1. Revise la sección Seleccionar entidades de confianza y edítela si es necesario.

    2. Revise los permisos en Agregar permisos y edítelos si es necesario.

    3. Revise las Etiquetas y añada etiquetas si es necesario.

    4. Elija Crear rol.

Has creado el rol de servicio para. AWS Clean Rooms

Cree un rol de servicio para proporcionar un modelo de aprendizaje automático personalizado

AWS Clean Rooms usa un rol de servicio para controlar quién puede crear un algoritmo de modelo de aprendizaje automático personalizado. Puede crear este rol mediante la consola si dispone de los permisos de IAM necesarios. Si no tiene permisos CreateRole, pida al administrador que cree el rol de servicio.

Este rol le permite usar la CreateConfiguredModelAlgorithm acción.

Crear un rol de servicio que permita a un miembro proporcionar un modelo de aprendizaje automático personalizado

  1. Inicie sesión en la consola de IAM (https://console.aws.amazon.com/iam/) con su cuenta de administrador.

  2. En Administración de acceso, seleccione Políticas.

  3. Elija Create Policy.

  4. En el Editor de políticas, seleccione la pestaña JSON y, a continuación, copie y pegue la siguiente política.

    nota

    El siguiente ejemplo de política admite los permisos necesarios para recuperar la imagen de Docker que contiene el algoritmo del modelo. Sin embargo, es posible que deba modificar esta política en función de cómo haya configurado sus datos de Amazon S3. Esta política no incluye una clave de KMS para descifrar los datos.

    Sus recursos de Amazon S3 deben coincidir con los Región de AWS de la AWS Clean Rooms colaboración.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowECRImageDownloadForTrainingAndInferenceJobs",
            "Effect": "Allow",
            "Action": [
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer"
            ],
            "Resource": "arn:aws:ecr:us-east-1:111122223333:repository/repoName"
        }
    ]
}

  5. Sustituya cada uno placeholder por su propia información:

    • region: nombre del Región de AWS. Por ejemplo, us-east-1.

    • accountId— El Cuenta de AWS ID en el que se encuentra el bucket de S3.

    • repoName— El nombre del repositorio que contiene tus datos.

  6. Elija Siguiente.

  7. En Revisar y crear, introduzca un Nombre de política y una Descripción y revise el Resumen.

  8. Elija Crear política.

    Ha creado una política para AWS Clean Rooms.

  9. En Administración de accesos, elija Roles.

    Con Roles, puede crear credenciales a corto plazo, que son las recomendadas aumentar la seguridad. También puede elegir Usuarios para crear credenciales a largo plazo.

  10. Elija Crear rol.

  11. En el asistente Crear rol, en Tipo de entidad de confianza, elija Política de confianza personalizada.

  12. Copie y pegue la siguiente política de confianza personalizada en el editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    El siempre SourceAccount es tuyo Cuenta de AWS . SourceArn Se puede limitar a un conjunto de datos de entrenamiento específico, pero solo después de que se haya creado ese conjunto de datos. Como aún no conoces el ARN del conjunto de datos de entrenamiento, el comodín se especifica aquí.

  13. Elija Siguiente.

  14. Seleccione la casilla de verificación situada junto al nombre de la política que creó y, a continuación, elija Siguiente.

  15. En Nombre, revisar y crear, introduzca el Nombre del rol y la Descripción.

    nota

    El Nombre del rol debe coincidir con el patrón de los permisos de passRole concedidos al miembro que puede realizar consultas y recibir resultados y a roles de miembros.

    1. Revise la sección Seleccionar entidades de confianza y edítela si es necesario.

    2. Revise los permisos en Agregar permisos y edítelos si es necesario.

    3. Revise las Etiquetas y añada etiquetas si es necesario.

    4. Elija Crear rol.

Has creado el rol de servicio para. AWS Clean Rooms

Cree un rol de servicio para consultar un conjunto de datos

AWS Clean Rooms usa un rol de servicio para controlar quién puede consultar un conjunto de datos que se utilizará para el modelado de aprendizaje automático personalizado. Puede crear este rol mediante la consola si dispone de los permisos de IAM necesarios. Si no tiene permisos CreateRole, pida al administrador que cree el rol de servicio.

Este rol le permite usar la CreateMLInputChannel acción.

Crear un rol de servicio que permita a un miembro consultar un conjunto de datos

  1. Inicia sesión en la consola de IAM (https://console.aws.amazon.com/iam/) con tu cuenta de administrador.

  2. En Administración de acceso, seleccione Políticas.

  3. Elija Create Policy.

  4. En el Editor de políticas, seleccione la pestaña JSON y, a continuación, copie y pegue la siguiente política.

    nota

    El siguiente ejemplo de política admite los permisos necesarios para consultar un conjunto de datos que se utilizará para el modelado de aprendizaje automático personalizado. Sin embargo, es posible que deba modificar esta política en función de cómo haya configurado sus datos de Amazon S3. Esta política no incluye una clave de KMS para descifrar los datos.

    Sus recursos de Amazon S3 deben coincidir con los Región de AWS de la AWS Clean Rooms colaboración.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCleanRoomsStartQueryForMLInputChannel",
            "Effect": "Allow",
            "Action": "cleanrooms:StartProtectedQuery",
            "Resource": "*"
        },
        {
            "Sid": "AllowCleanroomsGetSchemaAndGetAnalysisTemplateForMLInputChannel",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetSchema",
                "cleanrooms:GetCollaborationAnalysisTemplate"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowCleanRoomsGetAndUpdateQueryForMLInputChannel",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetProtectedQuery",
                "cleanrooms:UpdateProtectedQuery"
            ],
            "Resource": [
                "arn:aws:cleanrooms:us-east-1:111122223333:membership/queryRunnerMembershipId"
            ]
        }
    ]
}

  5. Sustituya cada uno placeholder por su propia información:

    • region: nombre del Región de AWS. Por ejemplo, us-east-1.

    • queryRunnerAccountId— El Cuenta de AWS ID de la cuenta que ejecutará las consultas.

    • queryRunnerMembershipId— El ID de membresía del miembro que puede realizar la consulta. Puede encontrar el ID de pertenencia en la pestaña Detalles de la colaboración. Esto garantiza AWS Clean Rooms que asuma el rol solo cuando este miembro ejecute el análisis en esta colaboración.

  6. Elija Siguiente.

  7. En Revisar y crear, introduzca un Nombre de política y una Descripción y revise el Resumen.

  8. Elija Crear política.

    Ha creado una política para AWS Clean Rooms.

  9. En Administración de accesos, elija Roles.

    Con Roles, puede crear credenciales a corto plazo, que son las recomendadas aumentar la seguridad. También puede elegir Usuarios para crear credenciales a largo plazo.

  10. Elija Crear rol.

  11. En el asistente Crear rol, en Tipo de entidad de confianza, elija Política de confianza personalizada.

  12. Copie y pegue la siguiente política de confianza personalizada en el editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    El siempre SourceAccount es tuyo Cuenta de AWS . SourceArn Se puede limitar a un conjunto de datos de entrenamiento específico, pero solo después de que se haya creado ese conjunto de datos. Como aún no conoces el ARN del conjunto de datos de entrenamiento, el comodín se especifica aquí.

  13. Elija Siguiente.

  14. Seleccione la casilla de verificación situada junto al nombre de la política que creó y, a continuación, elija Siguiente.

  15. En Nombre, revisar y crear, introduzca el Nombre del rol y la Descripción.

    nota

    El Nombre del rol debe coincidir con el patrón de los permisos de passRole concedidos al miembro que puede realizar consultas y recibir resultados y a roles de miembros.

    1. Revise la sección Seleccionar entidades de confianza y edítela si es necesario.

    2. Revise los permisos en Agregar permisos y edítelos si es necesario.

    3. Revise las Etiquetas y añada etiquetas si es necesario.

    4. Elija Crear rol.

Has creado el rol de servicio para. AWS Clean Rooms

Cree un rol de servicio para crear una asociación de tablas configurada

AWS Clean Rooms usa un rol de servicio para controlar quién puede crear una asociación de tablas configurada. Puede crear este rol mediante la consola si dispone de los permisos de IAM necesarios. Si no tiene permisos CreateRole, pida al administrador que cree el rol de servicio.

Este rol le permite usar la CreateConfiguredTableAssociation acción.

Crear un rol de servicio que permita la creación de una asociación de tablas configurada

  1. Inicie sesión en la consola de IAM (https://console.aws.amazon.com/iam/) con su cuenta de administrador.

  2. En Administración de acceso, seleccione Políticas.

  3. Elija Create Policy.

  4. En el Editor de políticas, seleccione la pestaña JSON y, a continuación, copie y pegue la siguiente política.

    nota

    El siguiente ejemplo de política admite la creación de una asociación de tablas configurada. Sin embargo, es posible que deba modificar esta política en función de cómo haya configurado los datos de Amazon S3. Esta política no incluye una clave de KMS para descifrar los datos.

    Sus recursos de Amazon S3 deben coincidir con los Región de AWS de la AWS Clean Rooms colaboración.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/KMS-key-ID",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::bucket-name",
            "Effect": "Allow"
        },
        {
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucket-name/*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:BatchGetPartition"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:catalog",
                "arn:aws:glue:us-east-1:111122223333:database/Glue database name",
                "arn:aws:glue:us-east-1:111122223333:table/Glue database name/Glue table name"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "glue:GetSchema",
                "glue:GetSchemaVersion"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}
    Sustituya los ARN de los recursos de marcadores de posición

    Al usar esta política, debes reemplazar los identificadores de recursos de marcadores de posición por los ARN reales de tus recursos:

    • AWS KMS Recurso clave: KMS-key-ID sustitúyalo por el identificador de AWS KMS clave real que cifra los datos de Amazon S3. La clave debe estar en la misma cuenta (111122223333) que es propietaria de los recursos del AWS Glue catálogo.

    • Recursos del bucket de Amazon S3: bucket-name sustitúyalos por el nombre real del bucket de Amazon S3 que contiene los datos de AWS Glue la tabla. Tenga en cuenta que los ARN de los cubos de Amazon S3 no incluyen los ID de las cuentas, ya que los nombres de los cubos son únicos en todo el mundo.

    • AWS Glue Recursos: sustituya los siguientes marcadores de posición por sus nombres de recursos reales:

      • Glue database name- El nombre de su base de datos AWS Glue

      • Glue table name- El nombre de su AWS Glue mesa

    Todos los AWS Glue recursos (catálogo, base de datos y tabla) deben estar en el mismo lugar Cuenta de AWS (111122223333) para garantizar la uniformidad de los permisos de acceso. Esta cuenta debe ser la misma que posee la AWS KMS clave utilizada para el cifrado de datos, creando un límite de seguridad unificado para sus recursos de AWS Clean Rooms datos.

  5. Sustituya cada placeholder una de ellas por su propia información:

    • KMS key used to encrypt the Amazon S3 data— La clave de KMS que se utilizó para cifrar los datos de Amazon S3. Para descifrar los datos, debe proporcionar la misma clave de KMS que se utilizó para cifrar los datos.

    • Amazon S3 bucket of AWS Glue table— El nombre del bucket de Amazon S3 que contiene la AWS Glue tabla que contiene sus datos.

    • region: nombre del Región de AWS. Por ejemplo, us-east-1.

    • accountId— El Cuenta de AWS ID de la cuenta que posee los datos.

    • AWS Glue database name— El nombre de la AWS Glue base de datos que contiene sus datos.

    • AWS Glue table name— El nombre de la AWS Glue tabla que contiene sus datos.

  6. Elija Siguiente.

  7. En Revisar y crear, introduzca un Nombre de política y una Descripción y revise el Resumen.

  8. Elija Crear política.

    Ha creado una política para AWS Clean Rooms.

  9. En Administración de accesos, elija Roles.

    Con Roles, puede crear credenciales a corto plazo, que son las recomendadas aumentar la seguridad. También puede elegir Usuarios para crear credenciales a largo plazo.

  10. Elija Crear rol.

  11. En el asistente Crear rol, en Tipo de entidad de confianza, elija Política de confianza personalizada.

  12. Copie y pegue la siguiente política de confianza personalizada en el editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    El siempre SourceAccount es tuyo Cuenta de AWS . SourceArn Se puede limitar a un conjunto de datos de entrenamiento específico, pero solo después de que se haya creado ese conjunto de datos. Como aún no conoces el ARN del conjunto de datos de entrenamiento, el comodín se especifica aquí.

  13. Elija Siguiente.

  14. Seleccione la casilla de verificación situada junto al nombre de la política que creó y, a continuación, elija Siguiente.

  15. En Nombre, revisar y crear, introduzca el Nombre del rol y la Descripción.

    nota

    El Nombre del rol debe coincidir con el patrón de los permisos de passRole concedidos al miembro que puede realizar consultas y recibir resultados y a roles de miembros.

    1. Revise la sección Seleccionar entidades de confianza y edítela si es necesario.

    2. Revise los permisos en Agregar permisos y edítelos si es necesario.

    3. Revise las Etiquetas y añada etiquetas si es necesario.

    4. Elija Crear rol.

Has creado el rol de servicio para. AWS Clean Rooms