Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Perubahan ketersediaan Manajer Peran

Alat asli IAM, Pusat Identitas IAM, dan infrastruktur-sebagai-kode

Kombinasi pembuatan peran asli AWS IAM,, dan Infrastructure-as-Code ( AWS IAM Identity CenterCloudFormation, CDK) berfungsi sebagai pengganti Amazon SageMaker Role Manager dengan mencakup kemampuan intinya di seluruh pembuatan peran berbasis pribadi dan pelingkupan izin berbasis aktivitas.

AWS Alat bawaan IAM menangani pembuatan peran eksekusi melalui konsol IAM, CLI, atau SDK dengan menyediakan alur kerja standar untuk membuat peran dengan kebijakan kepercayaan utama sagemaker.amazonaws.com layanan dan melampirkan kebijakan terkelola atau khusus.

AWS IAM Identity Center menangani identitas tenaga kerja dan manajemen akses terpusat dengan menyediakan set izin yang menentukan akses halus ke SageMaker sumber daya, memungkinkan identitas federasi dari penyedia identitas eksternal (Okta, Azure AD, Ping Identity) dan propagasi identitas tepercaya dengan Studio. SageMaker

IAM Access Analyzer menyediakan validasi kebijakan dinamis dan pembuatan kebijakan hak istimewa paling sedikit dengan menganalisis pola CloudTrail akses aktual dan merekomendasikan kebijakan yang disempurnakan, menggantikan templat berbasis aktivitas statis Manajer Peran dengan rekomendasi kebijakan berbasis penggunaan.

Untuk tata kelola berulang, CloudFormation dan templat CDK menyediakan definisi peran IAM yang dikontrol versi, dapat diaudit, dan dapat diulang yang terintegrasi dengan jaringan pipa perusahaan dan proses peninjauan keamanan. CI/CD

Mengganti Manajer Peran

Jika alur kerja Anda mencakup navigasi ke konsol SageMaker AI (Konfigurasi admin> Manajer peran > Buat peran), atau menggunakan opsi “Buat peran menggunakan panduan pembuatan peran” selama pembuatan domain, buku catatan, pekerjaan pelatihan, atau model inferensi, gunakan jalur alternatif yang dijelaskan di bagian Mengonfigurasi Penggantian di bawah ini.

Tidak diperlukan pembersihan untuk peran yang ada

Peran IAM yang sebelumnya dibuat oleh Role Manager adalah peran IAM standar. Mereka terus berfungsi secara independen tanpa ketergantungan Manager-specific runtime Role. Peran ini:

Ganti konstruksi CDK Role Manager (jika digunakan)

Jika Anda menggunakan konstruksi CDK Manajer @aws-cdk/aws-sagemaker-alpha Peran (Activitykelas Persona dan), ganti dengan konstruksi standaraws-cdk-lib/aws-iam. Lihat Infrastructure-as-Code bagian di bawah ini untuk pola penggantian.

Mengganti alur pembuatan domain Studio

Saat membuat domain SageMaker AI, Manajer Peran ditawarkan sebagai opsi untuk membuat peran eksekusi selama panduan orientasi (“Buat peran menggunakan panduan pembuatan peran”). Ikuti alternatif di bawah ini:

Penyiapan domain khusus dengan pembuatan peran konsol IAM

Selama pembuatan domain kustom, Anda dapat membuat peran eksekusi langsung dari konsol IAM daripada menggunakan Manajer Peran.

Langkah 1: Buat peran eksekusi di IAM

Langkah 2: Gunakan peran selama pembuatan domain

Lihat Cara menggunakan peran eksekusi SageMaker AI untuk instruksi terperinci.

Gunakan AWS kebijakan terkelola secara langsung

AWS menyediakan kebijakan terkelola yang mencakup SageMaker kegiatan umum. Lampirkan ini langsung ke peran eksekusi IAM Anda:

Lihat kebijakan AWS terkelola untuk Amazon SageMaker AI untuk daftar lengkapnya.

Gunakan pembuatan kebijakan IAM Access Analyzer (untuk hak istimewa paling sedikit)

Gunakan IAM Access Analyzer untuk menghasilkan kebijakan hak istimewa paling sedikit berdasarkan aktivitas akses aktual. CloudTrail Ini menghasilkan kebijakan berbasis penggunaan yang lebih akurat daripada templat statis Manajer Peran:

Pendekatan ini menggantikan template statis Manajer Peran dengan kebijakan dinamis yang mencerminkan pola penggunaan aktual, mencapai hak istimewa terkecil yang sebenarnya tanpa kurasi manual.

Lihat pembuatan kebijakan IAM Access Analyzer untuk langkah-langkah terperinci.

Infrastructure-as-Code (CloudFormation)

Tentukan peran SageMaker eksekusi CloudFormation untuk manajemen peran yang dapat diulang dan dikendalikan versi. Berikut ini adalah contoh yang perlu dimodifikasi berdasarkan kasus penggunaan Anda:

AWSTemplateFormatVersion: '2010-09-09'
Description: SageMaker execution roles replacing Role Manager personas

Resources:
  # Replaces Role Manager "SageMaker AI Compute" persona
  SageMakerComputeRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: sagemaker-compute-execution-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service: sagemaker.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonSageMakerFullAccess
      Policies:
        - PolicyName: S3DataAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - s3:GetObject
                  - s3:PutObject
                  - s3:DeleteObject
                  - s3:ListBucket
                Resource:
                  - arn:aws:s3:::my-sagemaker-bucket
                  - arn:aws:s3:::my-sagemaker-bucket/*
      Tags:
        - Key: Purpose
          Value: sagemaker-compute
        - Key: ManagedBy
          Value: cloudformation

  # Replaces Role Manager "Data Scientist" persona
  DataScientistRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: sagemaker-data-scientist-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service: sagemaker.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonSageMakerFullAccess
        - arn:aws:iam::aws:policy/AmazonSageMakerCanvasFullAccess
        - arn:aws:iam::aws:policy/AmazonSageMakerCanvasAIServicesAccess
      Policies:
        - PolicyName: GlueAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - glue:CreateTable
                  - glue:UpdateTable
                  - glue:DeleteTable
                  - glue:GetTable
                  - glue:GetTables
                  - glue:GetDatabase
                  - glue:GetDatabases
                Resource: '*'
      Tags:
        - Key: Purpose
          Value: sagemaker-data-scientist
        - Key: ManagedBy
          Value: cloudformation

  # Replaces Role Manager "MLOps" persona
  MLOpsRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: sagemaker-mlops-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service: sagemaker.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonSageMakerFullAccess
        - arn:aws:iam::aws:policy/AmazonSageMakerPipelinesIntegrations
        - arn:aws:iam::aws:policy/AmazonS3FullAccess
      Tags:
        - Key: Purpose
          Value: sagemaker-mlops
        - Key: ManagedBy
          Value: cloudformation

Outputs:
  ComputeRoleArn:
    Description: ARN of the SageMaker Compute execution role
    Value: !GetAtt SageMakerComputeRole.Arn
  DataScientistRoleArn:
    Description: ARN of the Data Scientist execution role
    Value: !GetAtt DataScientistRole.Arn
  MLOpsRoleArn:
    Description: ARN of the MLOps execution role
    Value: !GetAtt MLOpsRole.Arn

Infrastructure-as-Code (AWS CDK)

Ganti konstruksi CDK Role Manager (Persona,Activity) dengan konstruksi IAM standar. Berikut ini adalah contoh yang perlu dimodifikasi berdasarkan kasus penggunaan Anda:

import * as cdk from 'aws-cdk-lib';
import * as iam from 'aws-cdk-lib/aws-iam';
import { Construct } from 'constructs';

export class SageMakerRolesStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    // Replaces Role Manager "SageMaker AI Compute" persona
    const computeRole = new iam.Role(this, 'SageMakerComputeRole', {
      roleName: 'sagemaker-compute-execution-role',
      assumedBy: new iam.ServicePrincipal('sagemaker.amazonaws.com'),
      managedPolicies: [
        iam.ManagedPolicy.fromAwsManagedPolicyName('AmazonSageMakerFullAccess'),
      ],
    });

    // Replaces Role Manager "Data Scientist" persona
    const dataScientistRole = new iam.Role(this, 'DataScientistRole', {
      roleName: 'sagemaker-data-scientist-role',
      assumedBy: new iam.ServicePrincipal('sagemaker.amazonaws.com'),
      managedPolicies: [
        iam.ManagedPolicy.fromAwsManagedPolicyName('AmazonSageMakerFullAccess'),
        iam.ManagedPolicy.fromAwsManagedPolicyName('AmazonSageMakerCanvasFullAccess'),
        iam.ManagedPolicy.fromAwsManagedPolicyName('AmazonSageMakerCanvasAIServicesAccess'),
      ],
    });

    // Add custom inline policy for Glue access
    // (replaces "Manage Glue Tables" ML activity)
    dataScientistRole.addToPolicy(new iam.PolicyStatement({
      effect: iam.Effect.ALLOW,
      actions: [
        'glue:CreateTable',
        'glue:UpdateTable',
        'glue:DeleteTable',
        'glue:GetTable',
        'glue:GetTables',
        'glue:GetDatabase',
        'glue:GetDatabases',
      ],
      resources: ['*'],
    }));

    // Replaces Role Manager "MLOps" persona
    const mlopsRole = new iam.Role(this, 'MLOpsRole', {
      roleName: 'sagemaker-mlops-role',
      assumedBy: new iam.ServicePrincipal('sagemaker.amazonaws.com'),
      managedPolicies: [
        iam.ManagedPolicy.fromAwsManagedPolicyName('AmazonSageMakerFullAccess'),
        iam.ManagedPolicy.fromAwsManagedPolicyName('AmazonSageMakerPipelinesIntegrations'),
        iam.ManagedPolicy.fromAwsManagedPolicyName('AmazonS3FullAccess'),
      ],
    });

    // Example: Scope down with VPC conditions
    // (replaces Role Manager VPC customization)
    computeRole.addToPolicy(new iam.PolicyStatement({
      effect: iam.Effect.ALLOW,
      actions: [
        'ec2:CreateNetworkInterface',
        'ec2:CreateNetworkInterfacePermission',
        'ec2:DeleteNetworkInterface',
        'ec2:DeleteNetworkInterfacePermission',
        'ec2:DescribeNetworkInterfaces',
        'ec2:DescribeVpcs',
        'ec2:DescribeDhcpOptions',
        'ec2:DescribeSubnets',
        'ec2:DescribeSecurityGroups',
      ],
      resources: ['*'],
      conditions: {
        StringEquals: {
          'ec2:Vpc': 'arn:aws:ec2:us-east-1:123456789012:vpc/vpc-xxxxxxxx',
        },
      },
    }));
  }
}