Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Utiliser une configuration personnalisée pour Amazon SageMaker AI La **section Configuration pour les organisations** (configuration personnalisée) vous guide tout au long de la procédure de configuration avancée de votre domaine Amazon SageMaker AI. Cette option fournit des informations et des recommandations pour vous aider à comprendre et à contrôler tous les aspects de la configuration d’un compte, notamment les autorisations, les intégrations et le chiffrement. Utilisez cette option si vous souhaitez configurer un domaine personnalisé. Pour en savoir plus sur les domaines, consultez [Présentation du domaine Amazon SageMaker AI](gs-studio-onboard.md). **Topics** + [Méthodes d’authentification](#onboard-custom-authentication-details) + [Configuration pour les organisations (configuration personnalisée)](#onboard-custom-instructions) + [Accès au domaine après l’intégration](#onboard-custom-users-accesss-domain) ## Méthodes d’authentification Avant de configurer le domaine, réfléchissez aux méthodes d’authentification qui permettent à vos utilisateurs d’accéder au domaine. **AWS Centre d'identité** : + **Contribue à simplifier l’administration des autorisations d’accès à des groupes d’utilisateurs.** Vous pouvez accorder ou refuser des autorisations à des groupes d’utilisateurs au lieu de les appliquer individuellement à chaque utilisateur. Si un utilisateur passe à une autre organisation, vous pouvez le déplacer vers un autre groupe Gestion des identités et des accès AWS Identity center (AWS IAM Identity Center). L’utilisateur reçoit alors automatiquement les autorisations requises pour la nouvelle organisation. Notez que le centre d'identité IAM doit se trouver dans le même domaine Région AWS que le domaine. Pour effectuer la configuration avec IAM Identity Center, appliquez les instructions suivantes du *Guide de l’utilisateur AWS IAM Identity Center* : + Commencez par l’[activation d’ AWS IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/get-set-up-for-idc.html). + [Créez un jeu d’autorisations](https://docs.aws.amazon.com/singlesignon/latest/userguide/get-started-create-a-permission-set.html) qui respecte la bonne pratique consistant à appliquer les autorisations de moindre privilège. + [Ajoutez des groupes](https://docs.aws.amazon.com/singlesignon/latest/userguide/addgroups.html) à votre répertoire IAM Identity Center. + [Attribuez un accès par authentification unique](https://docs.aws.amazon.com/singlesignon/latest/userguide/useraccess.html#assignusers) aux utilisateurs et aux groupes. + Consultez les flux de travail de base pour [prendre en main les tâches courantes dans IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html). + Les utilisateurs d'IAM Identity Center peuvent accéder au domaine à l'aide d'une Portail d'accès AWS URL qui leur est envoyée par e-mail. Cet e-mail fournit des instructions pour créer un compte afin d’accéder au domaine. Pour plus d’informations, consultez [Connexion au Portail d'accès AWS](https://docs.aws.amazon.com/singlesignon/latest/userguide/howtosignin.html). En tant qu'administrateur, vous pouvez trouver l' Portail d'accès AWS URL en accédant au [centre d'identité IAM](https://console.aws.amazon.com/singlesignon) et en la trouvant dans le **Portail d'accès AWS récapitulatif** des **paramètres**. + Votre domaine doit utiliser l'authentification Gestion des identités et des accès AWS (IAM) si vous souhaitez restreindre l'accès à vos domaines exclusivement à certains Amazon Virtual Private Clouds (VPCs), à des points de terminaison d'interface ou à un ensemble prédéfini d'adresses IP. Cette fonctionnalité n’est pas prise en charge pour les domaines qui utilisent l’authentification IAM Identity Center. Vous pouvez toujours utiliser IAM Identity Center pour permettre un contrôle centralisé de l’identité du personnel. *Pour savoir comment mettre en œuvre ces restrictions tout en conservant IAM Identity Center afin de fournir une expérience de connexion utilisateur cohérente, consultez la section [Accès sécurisé à Amazon SageMaker Studio Classic avec IAM Identity Center et une application SAML](https://aws.amazon.com/blogs/machine-learning/secure-access-to-amazon-sagemaker-studio-with-aws-sso-and-a-saml-application/) sur le AWS blog de machine learning.* Notez que le AWS SSO est le centre d'identité IAM dans ce blog. **Connexion via IAM** : + Les profils utilisateur peuvent accéder au domaine via la console SageMaker AI après s'être connectés au compte. + Vous pouvez restreindre l'accès à vos domaines exclusivement à certains Amazon Virtual Private Clouds (VPCs), à des points de terminaison d'interface ou à un ensemble prédéfini d'adresses IP lorsque vous utilisez l'authentification Gestion des identités et des accès AWS (IAM). Pour de plus amples informations, veuillez consulter [Autorisation de l’accès uniquement à partir de votre VPC](studio-interface-endpoint.md#studio-private-link-restrict). ## Configuration pour les organisations (configuration personnalisée) ### Configuration personnalisée à l’aide de la console Après avoir rempli les conditions requises[Compléter les prérequis SageMaker relatifs à Amazon AI](gs-set-up.md), ouvrez la page **Configurer le domaine SageMaker AI** (configuration personnalisée) et développez les sections suivantes pour obtenir des informations sur la configuration. **Ouvrez le **champ Configurer le domaine SageMaker AI** depuis la console SageMaker AI** 1. Ouvrez la [console SageMaker AI](https://console.aws.amazon.com/sagemaker/). 1. Dans le panneau de navigation de gauche, choisissez **Configurations d’administrateur** pour développer les options. 1. Sous **Configurations d’administrateur**, choisissez **Domaines**. 1. Sur la page **Domains** (Domaines), choisissez **Create domain** (Créer un domaine). 1. Sur la page **Configurer le domaine SageMaker AI**, choisissez **Configurer pour les organisations**. 1. Choisissez **Set up (Configurer)**. Une fois que vous avez ouvert la page **Configurer un domaine SageMaker AI**, suivez les instructions suivantes : #### Étape 1 : Détails du domaine 1. Dans **Nom de domaine**, saisissez un nom unique pour votre domaine. Il peut s’agir, par exemple, du nom de votre projet ou de votre équipe. 1. Choisissez **Suivant**. #### Étape 2 : Utilisateurs et activités de machine learning Au cours de cette étape, vous configurez la méthode d’authentification, les utilisateurs et les autorisations pour votre domaine. 1. Sous **Comment souhaitez-vous accéder à Studio ?**, vous avez le choix entre deux options. Pour obtenir des informations sur les méthodes d’authentification, consultez [Méthodes d’authentification](#onboard-custom-authentication-details). Les détails de ces options sont fournis ci-dessous : + **AWS Centre d'identité** : Sous **Qui utilisera Studio ?** choisissez un AWS IAM Identity Center groupe qui accèdera au domaine. Si vous choisissez **Aucun groupe d’utilisateurs Identity Center**, vous créez un domaine sans utilisateurs. Vous pouvez ajouter des groupes IAM Identity Center au domaine une fois celui-ci créé. Pour de plus amples informations, veuillez consulter [Modification des paramètres du domaine](domain-edit.md). + **Connexion via IAM** : Sous **Qui utilisera Studio ?**, choisissez **\$1 Ajouter un utilisateur**, entrez un nouveau nom de profil utilisateur, puis choisissez **Ajouter** pour créer et ajouter un nom de profil utilisateur. Vous pouvez répéter ce processus pour créer plusieurs profils utilisateur. 1. Sous **Qui utilisera Studio ?**, sélectionnez les utilisateurs ou les groupes IAM Identity Center, puis choisissez **Sélectionner**. Vous devez configurer Amazon SageMaker Studio dans la même région que celle dans laquelle votre IAM Identity Center est configuré. Vous pouvez modifier la région de votre domaine en choisissant une région dans la liste déroulante en haut à droite de la console, ou vous pouvez modifier votre région IAM Identity Center en accédant au [portail d’accès AWS](https://console.aws.amazon.com/singlesignon). 1. Sous **Quelles activités de machine learning effectuent-ils ?**, vous pouvez utiliser un rôle existant en choisissant **Utiliser un rôle existant** ou vous pouvez créer un nouveau rôle en choisissant **Créer un nouveau rôle** et en cochant les activités ML auxquelles vous souhaitez que le rôle ait accès. 1. Lors de la sélection des activités ML, vous devrez peut-être satisfaire à des exigences. Pour satisfaire à une exigence, choisissez **Ajouter** et remplissez l’exigence. 1. Lorsque toutes les exigences sont satisfaites, choisissez **Suivant**. #### Étape 3 : Applications Dans cette étape, vous pouvez configurer les applications que vous avez activées à l’étape précédente. Pour plus d’informations sur les activités ML, consultez [Référence d’activité de ML](role-manager-ml-activities.md). Si l’application n’a pas été activée, vous recevez un avertissement pour cette application. Pour activer une application qui n’a pas été activée, revenez à l’étape précédente en choisissant **Retour** et suivez les instructions précédentes. + Configuration de **studio** : Sous **Studio**, vous avez la possibilité de choisir entre la nouvelle version et la version classique de Studio comme expérience par défaut. Cela implique de choisir l’environnement ML avec lequel vous interagirez lorsque vous ouvrirez Studio. + **Studio** inclut plusieurs environnements de développement intégrés (IDEs) et applications, notamment Amazon SageMaker Studio Classic. S’il est sélectionné, l’IDE Studio Classic présente ses paramètres par défaut. Pour obtenir des informations sur les paramètres par défaut, consultez [Paramètres par défaut](onboard-quick-start.md#onboard-quick-start-defaults). Pour obtenir des informations sur Studio, consultez [Amazon SageMaker Studio](studio-updated.md). + **Studio Classic** inclut l’IDE Jupyter. Si vous choisissez cette option, vous pouvez paramétrer votre configuration Studio Classic. Pour obtenir des informations sur Studio Classic, consultez [Amazon SageMaker Studio classique](studio.md). + SageMaker Configuration du **canevas** : Si Amazon SageMaker Canvas est activé, consultez [Commencer à utiliser Amazon SageMaker Canvas](canvas-getting-started.md) les instructions et les détails de configuration pour l'intégration. + Configuration de **Studio Classic** : Si vous avez choisi **Studio** (recommandé) comme expérience par défaut, l’IDE Studio Classic présente ses paramètres par défaut. Pour obtenir des informations sur les paramètres par défaut, consultez [Paramètres par défaut](onboard-quick-start.md#onboard-quick-start-defaults). Si vous avez choisi Studio Classic comme expérience par défaut, vous pouvez choisir d’activer ou de désactiver le partage des ressources de bloc-notes. Les ressources de bloc-notes incluent des artefacts tels que la sortie des cellules et les référentiels Git. Pour plus d’informations sur les ressources de bloc-notes, consultez [Partager et utiliser un bloc-notes Amazon SageMaker Studio Classic](notebooks-sharing.md). Si vous avez activé le partage des ressources de bloc-notes : 1. Sous **Emplacement S3 pour les ressources de bloc-notes partageables**, saisissez votre emplacement Amazon S3. 1. Sous **Clé de chiffrement - *facultatif***, laissez le **champ Pas de chiffrement personnalisé** ou choisissez une AWS KMS clé existante ou choisissez **Enter a KMS key ARN** et entrez l'ARN de votre AWS KMS clé. 1. Sous **Préférence de partage de sortie de cellule de bloc-notes**, choisissez **Autoriser les utilisateurs à partager la sortie de cellule** ou **Désactiver le partage de sortie de cellule**. + **RStudio**configuration : Pour l'activer RStudio, vous avez besoin d'une RStudio licence. Pour configurer cela, consultez [Obtenir une RStudio licence](rstudio-license.md). 1. Sous **RStudio Workbench**, vérifiez que votre RStudio licence est automatiquement détectée. Pour plus d'informations sur l'obtention RStudio d'une licence et son activation avec SageMaker l'IA, consultez[Obtenir une RStudio licence](rstudio-license.md). 1. Sélectionnez le type d'instance sur lequel lancer votre RStudio serveur. Pour de plus amples informations, veuillez consulter [RStudioServerPro type d'instance](rstudio-select-instance.md). 1. Sous **Permission** (Autorisation), créez votre rôle ou sélectionnez un rôle existant. Le rôle doit avoir la politique d’autorisations suivante. Cette politique permet à l' RStudioServerPro application d'accéder aux ressources nécessaires. Cela permet également à Amazon SageMaker AI de lancer automatiquement une RStudio ServerPro application lorsque l' RStudioServerProapplication existante est au `Failed` statut `Deleted` or. Pour savoir comment ajouter des autorisations à un rôle, consultez [Modification d’une politique d’autorisations de rôle (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/roles-managingrole-editing-console.html#roles-modify_permissions-policy). ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "license-manager:ExtendLicenseConsumption", "license-manager:ListReceivedLicenses", "license-manager:GetLicense", "license-manager:CheckoutLicense", "license-manager:CheckInLicense", "logs:CreateLogDelivery", "logs:CreateLogGroup", "logs:CreateLogStream", "logs:DeleteLogDelivery", "logs:Describe*", "logs:GetLogDelivery", "logs:GetLogEvents", "logs:ListLogDeliveries", "logs:PutLogEvents", "logs:PutResourcePolicy", "logs:UpdateLogDelivery", "sagemaker:CreateApp" ], "Resource": "*" } ] } ``` ------ 1. Sous **RStudio Connect**, ajoutez l'URL de votre serveur RStudio Connect. RStudio Connect est une plateforme de publication pour les applications Shiny, les rapports R Markdown, les tableaux de bord, les diagrammes, etc. Lorsque vous vous connectez RStudio à un serveur SageMaker AI, aucun serveur RStudio Connect n'est créé. Pour de plus amples informations, veuillez consulter [Ajouter une URL RStudio Connect](rstudio-configure-connect.md). 1. Sous **RStudio Package Manager**, ajoutez l'URL de votre RStudio Package Manager. SageMaker L'IA crée un référentiel de packages par défaut pour le gestionnaire de packages lors de votre intégration RStudio. Pour plus d'informations sur RStudio Package Manager, consultez[Mettre à jour l'URL RStudio du gestionnaire de packages](rstudio-configure-pm.md). 1. Sélectionnez **Suivant**. + Configuration de l’**éditeur de code** : Si l’éditeur de code est activé, consultez [Éditeur de code dans Amazon SageMaker Studio](code-editor.md) pour voir une présentation et les détails de configuration. #### Étape 4 : Personnalisation de l’interface utilisateur de Studio Dans cette section, vous pouvez personnaliser les applications visibles et les outils de machine learning (ML) affichés dans Studio. Cette personnalisation masque uniquement les applications et les outils ML dans le volet de navigation de gauche de Studio. Pour obtenir des informations sur l’interface utilisateur de Studio, consultez [Présentation de l'interface utilisateur d'Amazon SageMaker Studio](studio-updated-ui.md). Pour en savoir plus sur les applications, consultez [Applications prises en charge dans Amazon SageMaker Studio](studio-updated-apps.md). La fonctionnalité de personnalisation de l’interface utilisateur de Studio n’est pas disponible dans Studio Classic. Si vous souhaitez définir Studio comme expérience par défaut, choisissez **Précédent** et revenez à l’étape précédente. 1. Sur la page **Personnaliser l’interface utilisateur de Studio**, vous pouvez masquer les applications et les outils ML affichés dans Studio en les désactivant. 1. Une fois que vous avez passé en revue vos modifications, choisissez **Suivant**. #### Étape 5 : Configuration des paramètres réseau Choisissez la manière dont vous souhaitez que Studio se connecte aux autres AWS services. Vous pouvez choisir de désactiver l’accès Internet à Studio en spécifiant l’utilisation du type d’accès réseau **Cloud privé virtuel (VPC) uniquement**. Si vous choisissez cette option, vous ne pouvez pas exécuter un bloc-notes Studio à moins que votre VPC ne dispose d'un point de terminaison d'interface vers l' SageMaker API et le runtime, ou d'une passerelle NAT (Network Address Translation) avec accès à Internet, et que vos groupes de sécurité autorisent les connexions sortantes. Pour plus d'informations sur Amazon VPCs, consultez[Choix d’un réseau Amazon VPC](onboard-vpc.md). Si vous choisissez l’option Cloud privé virtuel (VPC) uniquement, les étapes suivantes sont requises. Si vous choisissez **Accès public à Internet**, les deux premières étapes suivantes sont requises. 1. Sous **VPC**, choisissez l’identifiant du réseau Amazon VPC. 1. Sous **Sous-réseau**, choisissez un ou plusieurs sous-réseaux. Si vous ne choisissez aucun sous-réseau, SageMaker AI utilise tous les sous-réseaux d'Amazon VPC. Nous vous recommandons d’utiliser plusieurs sous-réseaux qui ne sont pas créés dans les zones de disponibilité restreintes. L'utilisation de sous-réseaux dans ces zones de disponibilité restreintes peut entraîner des erreurs de capacité insuffisante et des délais de création d'applications plus longs. Pour plus d’informations sur les zones de disponibilité restreintes, consultez [Zones de disponibilité](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-regions-availability-zones.html#concepts-availability-zones). 1. Sous **Groupe(s) de sécurité**, choisissez un ou plusieurs sous-réseaux. Si **VPC uniquement** est sélectionné, SageMaker AI applique automatiquement les paramètres du groupe de sécurité définis pour le domaine à tous les espaces partagés créés dans le domaine. Si **Internet public uniquement** est sélectionné, SageMaker AI n'applique pas les paramètres du groupe de sécurité aux espaces partagés créés dans le domaine. #### Étape 6 : Configuration du stockage Vous avez la possibilité de chiffrer vos données. Les systèmes de fichiers [Amazon Elastic File System (Amazon EFS)](https://docs.aws.amazon.com/efs/latest/ug/whatisefs.html) et [Amazon Elastic Block Store (Amazon EBS)](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/AmazonEBS.html) sont créés pour vous lorsque vous créez un domaine. Les tailles Amazon EBS sont utilisées à la fois par l'éditeur de code et par les JupyterLab espaces. Vous ne pouvez pas modifier la clé de chiffrement après avoir chiffré vos systèmes de fichiers Amazon EFS et Amazon EBS. Pour chiffrer vos systèmes de fichiers Amazon EFS et Amazon EBS, vous pouvez utiliser les configurations suivantes. + Sous **Clé de chiffrement - *facultatif***, laissez le paramètre **Aucun chiffrement personnalisé** ou choisissez une clé KMS existante, ou choisissez **Saisir un ARN de clé KMS** et saisissez l’ARN de votre clé KMS. + Sous **Taille de l’espace par défaut – *facultatif***, entrez la taille de l’espace par défaut. + Sous **Taille maximale de l’espace – *facultatif***, entrez la taille maximale de l’espace. #### Étape 7 : Examen et création Passez en revue les paramètres de votre domaine. Si vous devez modifier les paramètres, choisissez **Modifier** à côté de l’étape correspondante. Une fois que vous avez confirmé que les paramètres de votre domaine sont corrects, choisissez **Soumettre** et le domaine est créé pour vous. Ce processus peut prendre quelques minutes. ### Configuration personnalisée à l'aide du AWS CLI Les sections suivantes fournissent des AWS CLI instructions pour la configuration personnalisée de votre domaine à l'aide des méthodes d'authentification IAM Identity Center ou IAM. Après avoir satisfait aux conditions préalables, y compris la configuration de vos AWS CLI informations d'identification[Compléter les prérequis SageMaker relatifs à Amazon AI](gs-set-up.md), dans, suivez les étapes suivantes. 1. Créez un rôle d'exécution utilisé pour créer un domaine et attachez la [AmazonSageMakerFullAccess](https://console.aws.amazon.com/iam/home?#/policies/arn:aws:iam::aws:policy/AmazonSageMakerFullAccess)politique. Vous pouvez également utiliser un rôle existant auquel est associée, au minimum, une politique de confiance autorisant l' SageMaker IA à assumer le rôle. Pour de plus amples informations, veuillez consulter [Comment utiliser les rôles d'exécution de l' SageMaker IA](sagemaker-roles.md). ``` aws iam create-role --role-name execution-role-name --assume-role-policy-document file://execution-role-trust-policy.json aws iam attach-role-policy --role-name execution-role-name --policy-arn arn:aws:iam::aws:policy/AmazonSageMakerFullAccess ``` 1. Obtenez le réseau Amazon Virtual Private Cloud (Amazon VPC) par défaut de votre compte. ``` aws --region region ec2 describe-vpcs --filters Name=isDefault,Values=true --query "Vpcs[0].VpcId" --output text ``` 1. Obtenez la liste des sous-réseaux du réseau Amazon VPC par défaut. ``` aws --region region ec2 describe-subnets --filters Name=vpc-id,Values=default-vpc-id --query "Subnets[*].SubnetId" --output json ``` 1. Créez un domaine en transmettant l’ID de réseau Amazon VPC par défaut, les sous-réseaux et l’ARN du rôle d’exécution. Vous devez également transmettre un ARN SageMaker d'image. Pour plus d'informations sur la JupyterLab version disponible ARNs, voir[Configuration d'une JupyterLab version par défaut](studio-jl.md#studio-jl-set). Pour `authentication-mode`, utilisez `SSO` pour l’authentification IAM Identity Center ou `IAM` pour l’authentification IAM. ``` aws --region region sagemaker create-domain --domain-name domain-name --vpc-id default-vpc-id --subnet-ids subnet-ids --auth-mode authentication-mode --default-user-settings "ExecutionRole=arn:aws:iam::account-number:role/execution-role-name,JupyterServerAppSettings={DefaultResourceSpec={InstanceType=system,SageMakerImageArn=image-arn}}" \ --query DomainArn --output text ``` Vous pouvez utiliser le AWS CLI pour personnaliser les applications et les outils ML affichés dans Studio pour le domaine, en utilisant [StudioWebPortalSettings](https://docs.aws.amazon.com/sagemaker/latest/APIReference/API_StudioWebPortalSettings.html). Utilisez `HiddenAppTypes` pour masquer les applications et `HiddenMlTools` pour masquer les outils ML. Pour plus d’informations sur la personnalisation de la navigation gauche de l’interface utilisateur de Studio, consultez [Masquer les outils et applications de machine learning dans l'interface utilisateur d'Amazon SageMaker Studio](studio-updated-ui-customize-tools-apps.md). Cette fonctionnalité n’est pas disponible pour Studio Classic. 1. Vérifiez que le domaine a été créé. ``` aws --region region sagemaker list-domains ``` ### Configuration personnalisée à l'aide de AWS CloudFormation Pour plus d'informations sur la création d'un domaine à l'aide de AWS CloudFormation, consultez [AWS::SageMaker::Domain](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-sagemaker-domain.html)le *guide de CloudFormation l'utilisateur.* Pour un exemple de CloudFormation modèle que vous pouvez utiliser pour configurer votre domaine, consultez [Création de domaines Amazon SageMaker AI CloudFormationà l'aide](https://github.com/aws-samples/cloudformation-studio-domain) du `aws-samples` GitHub référentiel. Une fois le domaine configuré, l’utilisateur administratif peut le visualiser et le modifier. Pour plus d’informations, consultez [Visualisation des domaines](domain-view.md) et [Modification des paramètres du domaine](domain-edit.md). ## Accès au domaine après l’intégration Les utilisateurs peuvent accéder à l' SageMaker IA en utilisant : + L’URL de connexion si le domaine a été configuré à l’aide de l’authentification IAM Identity Center. Pour obtenir des informations, consultez [Comment se connecter au portail utilisateur](https://docs.aws.amazon.com/singlesignon/latest/userguide/howtosignin.html). + La [console SageMaker AI](https://console.aws.amazon.com/sagemaker).