Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Manajemen identitas

Bagian ini membahas bagaimana pengguna tenaga kerja di direktori perusahaan bergabung ke dalam Akun AWS dan mengakses SageMaker AI Studio. Pertama, kami akan menjelaskan secara singkat bagaimana pengguna, grup, dan peran dipetakan, dan cara kerja federasi pengguna.

Pengguna, grup, dan peran

Di AWS, izin sumber daya dikelola menggunakan pengguna, grup, dan peran. Pelanggan dapat mengelola pengguna dan grup mereka baik melaluiIAM, atau di direktori perusahaan seperti Active Directory (AD), yang diaktifkan melalui iDP eksternal seperti Okta, yang memungkinkan mereka untuk mengautentikasi pengguna ke berbagai aplikasi yang berjalan di cloud dan lokal.

Seperti yang dibahas di bagian Manajemen Identitas Pilar AWS Keamanan, ini adalah praktik terbaik untuk mengelola identitas pengguna Anda di IDP pusat, karena ini membantu mengintegrasikan dengan mudah dengan proses SDM back-end Anda, dan membantu mengelola akses ke pengguna tenaga kerja Anda.

IdPs seperti Okta memungkinkan pengguna akhir untuk mengautentikasi ke satu atau lebih Akun AWS dan mendapatkan akses ke peran tertentu menggunakan SSO dengan bahasa markup asertasi keamanan (). SAML Admin iDP memiliki kemampuan untuk mengunduh peran dari ke Akun AWS iDP, dan menetapkannya ke pengguna. Saat masuk ke AWS, pengguna akhir disajikan dengan AWS layar yang menampilkan AWS peran daftar yang ditetapkan kepada mereka dalam satu atau lebih Akun AWS. Mereka dapat memilih peran yang akan diambil untuk login, yang menentukan izin mereka selama sesi yang diautentikasi itu.

Grup harus ada di IDP untuk setiap akun tertentu dan kombinasi peran yang ingin Anda berikan aksesnya. Anda dapat menganggap kelompok-kelompok ini sebagai kelompok AWS khusus peran. Setiap pengguna yang merupakan anggota grup khusus peran ini diberikan hak tunggal: akses ke satu peran tertentu dalam satu peran tertentu Akun AWS. Namun, proses hak tunggal ini tidak menskalakan untuk mengelola akses pengguna dengan menetapkan setiap pengguna ke grup AWS peran tertentu. Untuk menyederhanakan administrasi, kami sarankan Anda juga membuat sejumlah grup untuk semua set pengguna yang berbeda di organisasi Anda yang memerlukan serangkaian hak yang berbeda. AWS

Untuk mengilustrasikan penyiapan iDP pusat, pertimbangkan perusahaan dengan penyiapan AD, tempat pengguna dan grup disinkronkan ke direktori iDP. Pada tahun AWS, grup AD ini dipetakan ke IAM peran. Langkah-langkah utama alur kerja berikut:

Untuk petunjuk terperinci tentang pengaturan federasi SAML akun, lihat Cara Mengkonfigurasi SAML 2.0 Okta untuk Federasi AWS Akun.

Federasi pengguna

Otentikasi untuk SageMaker AI Studio dapat dilakukan menggunakan IAM atau IAM IDC. Jika pengguna dikelola melaluiIAM, mereka dapat memilih IAM mode. Jika perusahaan menggunakan iDP eksternal, mereka dapat melakukan federasi melalui IAM atau IDC. IAM Perhatikan bahwa mode otentikasi tidak dapat diperbarui untuk domain SageMaker AI Studio yang ada, jadi sangat penting untuk membuat keputusan sebelum membuat domain SageMaker AI Studio produksi.

Jika SageMaker AI Studio diatur dalam IAM mode, pengguna SageMaker AI Studio mengakses aplikasi melalui pra-tanda tangan URL yang secara otomatis menandatangani pengguna ke aplikasi SageMaker AI Studio saat diakses melalui browser.

Pengguna IAM

Untuk IAM pengguna, administrator membuat profil pengguna SageMaker AI Studio untuk setiap pengguna, dan mengaitkan profil pengguna dengan IAM peran yang memungkinkan tindakan yang diperlukan yang perlu dilakukan pengguna dari dalam Studio. Untuk membatasi AWS pengguna hanya mengakses profil pengguna SageMaker AI Studio mereka, administrator harus menandai profil pengguna SageMaker AI Studio dan melampirkan IAM kebijakan ke pengguna yang memungkinkan mereka mengakses hanya jika nilai tag sama dengan nama AWS pengguna. Pernyataan kebijakan terlihat seperti ini:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonSageMakerPresignedUrlPolicy",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreatePresignedDomainUrl"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "sagemaker:ResourceTag/studiouserid": "${aws:username}" 
                }
            }
        }
    ]
}

AWS IAMatau federasi akun

Metode Akun AWS federasi memungkinkan pelanggan untuk berfederasi ke Konsol SageMaker AI dari SAML IDP mereka, seperti Okta. Untuk membatasi pengguna hanya mengakses profil pengguna mereka, administrator harus menandai profil pengguna SageMaker AI Studio, menambahkan IDP, dan PrincipalTags mengaturnya sebagai tag transitif. Diagram berikut menggambarkan bagaimana pengguna federasi (Data Scientist Alice) berwenang untuk mengakses profil pengguna SageMaker AI Studio mereka sendiri.

Jika Anda ingin mengotomatiskan pembuatan peran dan kebijakan Eksekusi SageMaker AI sebagai bagian dari orientasi pengguna, berikut ini adalah salah satu cara untuk melakukannya:

Siapkan proses otomatisasi yang mendengarkan acara SageMaker AI-Account1-Group keanggotaan, dan gunakan AWS APIs untuk membuat peran, kebijakan, tag, dan profil pengguna SageMaker AI Studio berdasarkan keanggotaan grup iklan mereka. Lampirkan peran ke profil pengguna. Untuk kebijakan sampel, lihatMencegah pengguna SageMaker AI Studio mengakses profil pengguna lain.

SAMLotentikasi menggunakan AWS Lambda

Dalam IAM mode, pengguna juga dapat diautentikasi ke SageMaker AI Studio menggunakan SAML pernyataan. Dalam arsitektur ini, pelanggan memiliki IDP yang sudah ada, di mana mereka dapat membuat SAML aplikasi bagi pengguna untuk mengakses Studio (bukan aplikasi Federasi AWS Identitas). IDP pelanggan ditambahkan ke. IAM AWS Lambda Fungsi membantu memvalidasi SAML pernyataan menggunakan IAM danSTS, dan kemudian memanggil gateway API atau fungsi Lambda secara langsung, untuk membuat domain yang telah ditandatangani sebelumnya. URL

Keuntungan dari solusi ini adalah fungsi Lambda dapat menyesuaikan logika untuk akses ke SageMaker AI Studio. Sebagai contoh:

Singkatnya, solusi ini akan mengekspos SageMaker AI Studio sebagai SAML2 aplikasi.0 dengan logika khusus untuk otentikasi dan otorisasi. Lihat bagian lampiran Akses SageMaker studio menggunakan SAML pernyataan untuk detail implementasi.

AWSIAMFederasi IDc

Metode federasi IDC memungkinkan pelanggan untuk berfederasi langsung ke aplikasi SageMaker AI Studio dari iDP mereka (seperti SAML Okta). Diagram berikut menggambarkan bagaimana pengguna federasi diberi wewenang untuk mengakses instance SageMaker AI Studio mereka sendiri.

Panduan otentikasi domain

Berikut adalah beberapa pertimbangan saat memilih mode otentikasi domain: