View a markdown version of this page

Configura i ruoli di servizio per AWS Clean Rooms ML - AWS Clean Rooms
Imposta i ruoli di servizio per la modellazione lookalikeImposta i ruoli di servizio per la modellazione personalizzata

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configura i ruoli di servizio per AWS Clean Rooms ML

I ruoli necessari per eseguire la modellazione lookalike sono diversi da quelli necessari per utilizzare un modello personalizzato. Le sezioni seguenti descrivono i ruoli necessari per eseguire ciascuna attività.

Imposta i ruoli di servizio per la modellazione lookalike

Crea un ruolo di servizio per leggere i dati di addestramento

AWS Clean Rooms utilizza un ruolo di servizio per leggere i dati di allenamento. Puoi creare questo ruolo utilizzando la console se disponi delle autorizzazioni IAM necessarie. Se non disponi CreateRole delle autorizzazioni, chiedi al tuo amministratore di creare il ruolo del servizio.

Per creare un ruolo di servizio per addestrare un set di dati

  1. Accedi alla console IAM (https://console.aws.amazon.com/iam/) con il tuo account amministratore.

  2. In Gestione accessi scegli Policy.

  3. Seleziona Create Policy (Crea policy).

  4. Nell'editor delle policy, seleziona la scheda JSON, quindi copia e incolla la seguente policy.

    Nota

    La seguente policy di esempio supporta le autorizzazioni necessarie per leggere i AWS Glue metadati e i corrispondenti dati Amazon S3. Tuttavia, potrebbe essere necessario modificare questa politica a seconda di come hai impostato i dati S3. Questa politica non include una chiave KMS per decrittografare i dati.

    AWS Glue Le tue risorse e le risorse Amazon S3 sottostanti devono coincidere con la collaborazione. Regione AWS AWS Clean Rooms

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:BatchGetPartition",
                "glue:GetUserDefinedFunctions"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:database/databases",
                "arn:aws:glue:us-east-1:111122223333:table/databases/tables",
                "arn:aws:glue:us-east-1:111122223333:catalog",
                "arn:aws:glue:us-east-1:111122223333:database/default"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "glue:CreateDatabase"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:database/default"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::bucket"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "111122223333"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "111122223333"
                    ]
                }
            }
        }
    ]
}

    Se devi utilizzare una chiave KMS per decrittografare i dati, aggiungi questa AWS KMS dichiarazione al modello precedente:

    {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
    ]
}

  5. Sostituisci ognuna placeholder con le tue informazioni:

    • region: nome della Regione AWS. Ad esempio, us-east-1.

    • accountId— L' Account AWS ID in cui si trova il bucket S3.

    • database/databases, table/databases/tablescatalog, e database/default — La posizione dei dati di allenamento a cui è AWS Clean Rooms necessario accedere.

    • bucket— L'Amazon Resource Name (ARN) del bucket S3. L'Amazon Resource Name (ARN) si trova nella scheda Proprietà del bucket in Amazon S3.

    • bucketFolders— Il nome delle cartelle specifiche nel bucket S3 a cui è necessario accedere. AWS Clean Rooms

  6. Scegli Avanti.

  7. Per Rivedi e crea, inserisci il nome e la descrizione della policy e rivedi il riepilogo.

  8. Scegli Crea policy.

    Hai creato una politica per AWS Clean Rooms.

  9. In Access management (Gestione accessi), scegli Roles (Ruoli).

    Con Roles, puoi creare credenziali a breve termine, il che è consigliato per una maggiore sicurezza. Puoi anche scegliere Utenti per creare credenziali a lungo termine.

  10. Scegliere Crea ruolo.

  11. Nella procedura guidata di creazione del ruolo, per il tipo di entità attendibile, scegli Politica di fiducia personalizzata.

  12. Copia e incolla la seguente politica di fiducia personalizzata nell'editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": { 
                    "aws:SourceAccount": ["111122223333"]
                },
                "ArnLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:us-east-1:111122223333:training-dataset/*"
                }
            }
        }
    ]
}

    SourceAccountÈ sempre tuo. Account AWSSourceArnPuò essere limitato a uno specifico set di dati di addestramento, ma solo dopo la creazione del set di dati. Poiché non conosci ancora l'ARN del set di dati di addestramento, qui viene specificato il carattere jolly.

    accountIdè l'ID Account AWS che contiene i dati di allenamento.

  13. Scegli Avanti e in Aggiungi autorizzazioni, inserisci il nome della policy che hai appena creato. (Potrebbe essere necessario ricaricare la pagina.)

  14. Seleziona la casella di controllo accanto al nome della policy creata, quindi scegli Avanti.

  15. Per Nome, revisione e creazione, inserisci il nome e la descrizione del ruolo.

    Nota

    Il nome del ruolo deve corrispondere allo schema delle passRole autorizzazioni concesse al membro che può richiedere e ricevere risultati e ruoli membro.

    1. Rivedi Seleziona le entità attendibili e modifica se necessario.

    2. Rivedi le autorizzazioni in Aggiungi autorizzazioni e modificale se necessario.

    3. Rivedi i tag e aggiungili se necessario.

    4. Scegliere Crea ruolo.

Hai creato il ruolo di servizio per AWS Clean Rooms.

Crea un ruolo di servizio per scrivere un segmento simile

AWS Clean Rooms utilizza un ruolo di servizio per scrivere segmenti simili in un bucket. Puoi creare questo ruolo utilizzando la console se disponi delle autorizzazioni IAM necessarie. Se non disponi CreateRole delle autorizzazioni, chiedi al tuo amministratore di creare il ruolo del servizio.

Per creare un ruolo di servizio per scrivere un segmento simile

  1. Accedi alla console IAM (https://console.aws.amazon.com/iam/) con il tuo account amministratore.

  2. In Gestione accessi scegli Policy.

  3. Seleziona Create Policy (Crea policy).

  4. Nell'editor delle policy, seleziona la scheda JSON, quindi copia e incolla la seguente policy.

    Nota

    La seguente policy di esempio supporta le autorizzazioni necessarie per leggere i AWS Glue metadati e i corrispondenti dati Amazon S3. Tuttavia, potrebbe essere necessario modificare questa policy a seconda di come hai impostato i tuoi dati Amazon S3. Questa policy non include una chiave KMS per decrittografare i dati.

    AWS Glue Le tue risorse e le risorse Amazon S3 sottostanti devono coincidere con la collaborazione. Regione AWS AWS Clean Rooms

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
    {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::buckets"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition":{
                "StringEquals":{
                    "s3:ResourceAccount":[
                        "accountId"
                    ]
                }
            }
        }
  ]
}

    Se devi usare una chiave KMS per crittografare i dati, aggiungi questa AWS KMS dichiarazione al modello:

    {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey*",
                "kms:ReEncrypt*",
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

  5. Sostituisci ognuna placeholder con le tue informazioni:

    • buckets— L'Amazon Resource Name (ARN) del bucket S3. L'Amazon Resource Name (ARN) si trova nella scheda Proprietà del bucket in Amazon S3.

    • accountId— L' Account AWS ID in cui si trova il bucket S3.

    • bucketFolders— Il nome delle cartelle specifiche del bucket S3 a cui AWS Clean Rooms è necessario accedere.

    • region: nome della Regione AWS. Ad esempio, us-east-1.

    • keyId— La chiave KMS necessaria per crittografare i dati.

  6. Scegli Avanti.

  7. Per Rivedi e crea, inserisci il nome e la descrizione della policy e rivedi il riepilogo.

  8. Scegli Crea policy.

    Hai creato una politica per AWS Clean Rooms.

  9. In Access management (Gestione accessi), scegli Roles (Ruoli).

    Con Roles, puoi creare credenziali a breve termine, il che è consigliato per una maggiore sicurezza. Puoi anche scegliere Utenti per creare credenziali a lungo termine.

  10. Scegliere Crea ruolo.

  11. Nella procedura guidata di creazione del ruolo, per il tipo di entità attendibile, scegli Politica di fiducia personalizzata.

  12. Copia e incolla la seguente politica di fiducia personalizzata nell'editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": { 
                    "aws:SourceAccount": ["111122223333"]

                },
                "ArnLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:us-east-1:111122223333:configured-audience-model/*"
                }
            }
        }
    ]
}

    SourceAccountÈ sempre tuo. Account AWSSourceArnPuò essere limitato a uno specifico set di dati di addestramento, ma solo dopo la creazione del set di dati. Poiché non conosci ancora l'ARN del set di dati di addestramento, qui viene specificato il carattere jolly.

  13. Scegli Avanti.

  14. Seleziona la casella di controllo accanto al nome della policy creata, quindi scegli Avanti.

  15. Per Nome, revisione e creazione, inserisci il nome e la descrizione del ruolo.

    Nota

    Il nome del ruolo deve corrispondere allo schema delle passRole autorizzazioni concesse al membro che può richiedere e ricevere risultati e ruoli membro.

    1. Rivedi Seleziona le entità attendibili e modifica se necessario.

    2. Rivedi le autorizzazioni in Aggiungi autorizzazioni e modificale se necessario.

    3. Rivedi i tag e aggiungili se necessario.

    4. Scegliere Crea ruolo.

Hai creato il ruolo di servizio per AWS Clean Rooms.

Crea un ruolo di servizio per leggere i dati iniziali

AWS Clean Rooms utilizza un ruolo di servizio per leggere i dati iniziali. Puoi creare questo ruolo utilizzando la console se disponi delle autorizzazioni IAM necessarie. Se non disponi CreateRole delle autorizzazioni, chiedi al tuo amministratore di creare il ruolo del servizio.

Per creare un ruolo di servizio per leggere i dati iniziali archiviati in un bucket S3.

  1. Accedi alla console IAM (https://console.aws.amazon.com/iam/) con il tuo account amministratore.

  2. In Gestione accessi scegli Policy.

  3. Seleziona Create Policy (Crea policy).

  4. Nell'editor delle politiche, seleziona la scheda JSON, quindi copia e incolla una delle seguenti politiche.

    Nota

    La seguente policy di esempio supporta le autorizzazioni necessarie per leggere i AWS Glue metadati e i corrispondenti dati Amazon S3. Tuttavia, potrebbe essere necessario modificare questa policy a seconda di come hai impostato i tuoi dati Amazon S3. Questa policy non include una chiave KMS per decrittografare i dati.

    AWS Glue Le tue risorse e le risorse Amazon S3 sottostanti devono coincidere con la collaborazione. Regione AWS AWS Clean Rooms

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::buckets"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "accountId"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "accountId"
                    ]
                }
            }
        }
    ]
}
    Nota

    La seguente policy di esempio supporta le autorizzazioni necessarie per leggere i risultati di una query SQL e utilizzarli come dati di input. Tuttavia, potrebbe essere necessario modificare questa politica a seconda di come è strutturata la query. Questa politica non include una chiave KMS per decrittografare i dati.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCleanRoomsStartQuery",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetCollaborationAnalysisTemplate",
                "cleanrooms:GetSchema",
                "cleanrooms:StartProtectedQuery"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowCleanRoomsGetAndUpdateQuery",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetProtectedQuery",
                "cleanrooms:UpdateProtectedQuery"
            ],
            "Resource": [
                "arn:aws:cleanrooms:us-east-1:111122223333:membership/queryRunnerMembershipId"
            ]
        }
    ]
}

    Se devi usare una chiave KMS per decrittografare i dati, aggiungi questa dichiarazione al modello: AWS KMS 

    {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

  5. Sostituisci ognuna placeholder con le tue informazioni:

    • buckets— L'Amazon Resource Name (ARN) del bucket S3. L'Amazon Resource Name (ARN) si trova nella scheda Proprietà del bucket in Amazon S3.

    • accountId— L' Account AWS ID in cui si trova il bucket S3.

    • bucketFolders— Il nome delle cartelle specifiche del bucket S3 a cui AWS Clean Rooms è necessario accedere.

    • region: nome della Regione AWS. Ad esempio, us-east-1.

    • queryRunnerAccountId— L' Account AWS ID dell'account che eseguirà le query.

    • queryRunnerMembershipId— L'ID di iscrizione del membro che può effettuare una richiesta. L'ID di iscrizione si trova nella scheda Dettagli della collaborazione. Ciò garantisce AWS Clean Rooms che assuma il ruolo solo quando questo membro esegue l'analisi in questa collaborazione.

    • keyId— La chiave KMS necessaria per crittografare i dati.

  6. Scegli Avanti.

  7. Per Rivedi e crea, inserisci il nome e la descrizione della policy e rivedi il riepilogo.

  8. Scegli Crea policy.

    Hai creato una politica per AWS Clean Rooms.

  9. In Access management (Gestione accessi), scegli Roles (Ruoli).

    Con Ruoli, puoi creare credenziali a breve termine, il che è consigliato per una maggiore sicurezza. Puoi anche scegliere Utenti per creare credenziali a lungo termine.

  10. Scegliere Crea ruolo.

  11. Nella procedura guidata di creazione del ruolo, per il tipo di entità attendibile, scegli Politica di fiducia personalizzata.

  12. Copia e incolla la seguente politica di fiducia personalizzata nell'editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEqualsIfExists": {
                    "aws:SourceAccount": ["111122223333"]

                },
                "ArnLikeIfExists": { 
                    "aws:SourceArn": "arn:aws:cleanrooms-ml:us-east-1:111122223333:audience-generation-job/*"
                }
            }
        }
    ]
}

    SourceAccountÈ sempre tuo. Account AWSSourceArnPuò essere limitato a uno specifico set di dati di addestramento, ma solo dopo la creazione del set di dati. Poiché non conosci ancora l'ARN del set di dati di addestramento, qui viene specificato il carattere jolly.

  13. Scegli Avanti.

  14. Seleziona la casella di controllo accanto al nome della policy creata, quindi scegli Avanti.

  15. Per Nome, revisione e creazione, inserisci il nome e la descrizione del ruolo.

    Nota

    Il nome del ruolo deve corrispondere allo schema delle passRole autorizzazioni concesse al membro che può richiedere e ricevere risultati e ruoli membro.

    1. Rivedi Seleziona le entità attendibili e modifica se necessario.

    2. Rivedi le autorizzazioni in Aggiungi autorizzazioni e modificale se necessario.

    3. Rivedi i tag e aggiungili se necessario.

    4. Scegliere Crea ruolo.

Hai creato il ruolo di servizio per AWS Clean Rooms.

Imposta i ruoli di servizio per la modellazione personalizzata

Crea un ruolo di servizio per la modellazione ML personalizzata - Configurazione ML

AWS Clean Rooms utilizza un ruolo di servizio per controllare chi può creare una configurazione ML personalizzata. Puoi creare questo ruolo utilizzando la console se disponi delle autorizzazioni IAM necessarie. Se non disponi CreateRole delle autorizzazioni, chiedi all'amministratore di creare il ruolo del servizio.

Questo ruolo consente di utilizzare l'azione PutMLConfiguration.

Creare un ruolo di servizio per consentire la creazione di una configurazione ML personalizzata

  1. Accedi alla console IAM (https://console.aws.amazon.com/iam/) con il tuo account amministratore.

  2. In Gestione accessi scegli Policy.

  3. Seleziona Create Policy (Crea policy).

  4. Nell'editor delle policy, seleziona la scheda JSON, quindi copia e incolla la seguente policy.

    Nota

    La seguente politica di esempio supporta le autorizzazioni necessarie per accedere e scrivere dati in un bucket S3 e per pubblicare le metriche. CloudWatch Tuttavia, potrebbe essere necessario modificare questa policy a seconda di come hai impostato i dati di Amazon S3. Questa policy non include una chiave KMS per decrittografare i dati.

    Le tue risorse Amazon S3 devono essere incluse nella collaborazione. Regione AWS AWS Clean Rooms

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3ObjectWriteForExport",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "111122223333"
                    ]
                }
            }
        },
        {
            "Sid": "AllowS3KMSEncryptForExport",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey*"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/keyId"
            ],
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucket*"
                }
            }
        },
        {
            "Sid": "AllowCloudWatchMetricsPublishingForTrainingJobs",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringLike": {
                    "cloudwatch:namespace": "/aws/cleanroomsml/*"
                }
            }
        },
        {
            "Sid": "AllowCloudWatchLogsPublishingForTrainingOrInferenceJobs",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-1:111122223333:log-group:/aws/cleanroomsml/*"
            ]
        }
    ]
}

  5. Sostituisci ognuna placeholder con le tue informazioni:

    • bucket— L'Amazon Resource Name (ARN) del bucket S3. L'Amazon Resource Name (ARN) si trova nella scheda Proprietà del bucket in Amazon S3.

    • region: nome della Regione AWS. Ad esempio, us-east-1.

    • accountId— L' Account AWS ID in cui si trova il bucket S3.

    • keyId— La chiave KMS necessaria per crittografare i dati.

  6. Scegli Avanti.

  7. Per Rivedi e crea, inserisci il nome e la descrizione della policy e rivedi il riepilogo.

  8. Scegli Crea policy.

    Hai creato una politica per AWS Clean Rooms.

  9. In Access management (Gestione accessi), scegli Roles (Ruoli).

    Con Roles, puoi creare credenziali a breve termine, il che è consigliato per una maggiore sicurezza. Puoi anche scegliere Utenti per creare credenziali a lungo termine.

  10. Scegliere Crea ruolo.

  11. Nella procedura guidata di creazione del ruolo, per il tipo di entità attendibile, scegli Politica di fiducia personalizzata.

  12. Copia e incolla la seguente politica di fiducia personalizzata nell'editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:cleanrooms:us-east-1:111122223333:membership/membershipID"
                }
            }
        }
    ]
}

    SourceAccountÈ sempre tuo. Account AWSSourceArnPuò essere limitato a uno specifico set di dati di addestramento, ma solo dopo la creazione del set di dati. Poiché non conosci ancora l'ARN del set di dati di addestramento, qui viene specificato il carattere jolly.

  13. Scegli Avanti.

  14. Seleziona la casella di controllo accanto al nome della policy creata, quindi scegli Avanti.

  15. Per Nome, revisione e creazione, inserisci il nome e la descrizione del ruolo.

    Nota

    Il nome del ruolo deve corrispondere allo schema delle passRole autorizzazioni concesse al membro che può richiedere e ricevere risultati e ruoli membro.

    1. Rivedi Seleziona le entità attendibili e modifica se necessario.

    2. Rivedi le autorizzazioni in Aggiungi autorizzazioni e modificale se necessario.

    3. Rivedi i tag e aggiungili se necessario.

    4. Scegliere Crea ruolo.

Hai creato il ruolo di servizio per AWS Clean Rooms.

Crea un ruolo di servizio per fornire un modello ML personalizzato

AWS Clean Rooms utilizza un ruolo di servizio per controllare chi può creare un algoritmo di modello ML personalizzato. Puoi creare questo ruolo utilizzando la console se disponi delle autorizzazioni IAM necessarie. Se non disponi CreateRole delle autorizzazioni, chiedi all'amministratore di creare il ruolo del servizio.

Questo ruolo ti consente di utilizzare l'CreateConfiguredModelAlgorithmazione.

Creare un ruolo di servizio per consentire a un membro di fornire un modello ML personalizzato

  1. Accedi alla console IAM (https://console.aws.amazon.com/iam/) con il tuo account amministratore.

  2. In Gestione accessi scegli Policy.

  3. Seleziona Create Policy (Crea policy).

  4. Nell'editor delle policy, seleziona la scheda JSON, quindi copia e incolla la seguente policy.

    Nota

    La seguente politica di esempio supporta le autorizzazioni necessarie per recuperare l'immagine docker che contiene l'algoritmo del modello. Tuttavia, potrebbe essere necessario modificare questa policy a seconda di come hai impostato i tuoi dati Amazon S3. Questa policy non include una chiave KMS per decrittografare i dati.

    Le tue risorse Amazon S3 devono essere incluse nella collaborazione. Regione AWS AWS Clean Rooms

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowECRImageDownloadForTrainingAndInferenceJobs",
            "Effect": "Allow",
            "Action": [
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer"
            ],
            "Resource": "arn:aws:ecr:us-east-1:111122223333:repository/repoName"
        }
    ]
}

  5. Sostituisci ognuna placeholder con le tue informazioni:

    • region: nome della Regione AWS. Ad esempio, us-east-1.

    • accountId— L' Account AWS ID in cui si trova il bucket S3.

    • repoName— Il nome del repository che contiene i tuoi dati.

  6. Scegli Avanti.

  7. Per Rivedi e crea, inserisci il nome e la descrizione della policy e rivedi il riepilogo.

  8. Scegli Crea policy.

    Hai creato una politica per AWS Clean Rooms.

  9. In Access management (Gestione accessi), scegli Roles (Ruoli).

    Con Roles, puoi creare credenziali a breve termine, il che è consigliato per una maggiore sicurezza. Puoi anche scegliere Utenti per creare credenziali a lungo termine.

  10. Scegliere Crea ruolo.

  11. Nella procedura guidata di creazione del ruolo, per il tipo di entità attendibile, scegli Politica di fiducia personalizzata.

  12. Copia e incolla la seguente politica di fiducia personalizzata nell'editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    The SourceAccount è sempre il tuo Account AWS The SourceArn può essere limitato a uno specifico set di dati di addestramento, ma solo dopo la creazione del set di dati. Poiché non conosci ancora l'ARN del set di dati di addestramento, qui viene specificato il carattere jolly.

  13. Scegli Avanti.

  14. Seleziona la casella di controllo accanto al nome della policy creata, quindi scegli Avanti.

  15. Per Nome, revisione e creazione, inserisci il nome e la descrizione del ruolo.

    Nota

    Il nome del ruolo deve corrispondere allo schema delle passRole autorizzazioni concesse al membro che può richiedere e ricevere risultati e ruoli membro.

    1. Rivedi Seleziona le entità attendibili e modifica se necessario.

    2. Rivedi le autorizzazioni in Aggiungi autorizzazioni e modificale se necessario.

    3. Rivedi i tag e aggiungili se necessario.

    4. Scegliere Crea ruolo.

Hai creato il ruolo di servizio per AWS Clean Rooms.

Crea un ruolo di servizio per interrogare un set di dati

AWS Clean Rooms utilizza un ruolo di servizio per controllare chi può interrogare un set di dati che verrà utilizzato per la modellazione ML personalizzata. Puoi creare questo ruolo utilizzando la console se disponi delle autorizzazioni IAM necessarie. Se non disponi CreateRole delle autorizzazioni, chiedi all'amministratore di creare il ruolo del servizio.

Questo ruolo ti consente di utilizzare l'CreateMLInputChannelazione.

Per creare un ruolo di servizio per consentire a un membro di interrogare un set di dati

  1. Accedi alla console IAM (https://console.aws.amazon.com/iam/) con il tuo account amministratore.

  2. In Gestione accessi scegli Policy.

  3. Seleziona Create Policy (Crea policy).

  4. Nell'editor delle policy, seleziona la scheda JSON, quindi copia e incolla la seguente policy.

    Nota

    La seguente politica di esempio supporta le autorizzazioni necessarie per interrogare un set di dati che verrà utilizzato per la modellazione ML personalizzata. Tuttavia, potrebbe essere necessario modificare questa policy a seconda di come hai impostato i tuoi dati Amazon S3. Questa policy non include una chiave KMS per decrittografare i dati.

    Le tue risorse Amazon S3 devono essere incluse nella collaborazione. Regione AWS AWS Clean Rooms

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCleanRoomsStartQueryForMLInputChannel",
            "Effect": "Allow",
            "Action": "cleanrooms:StartProtectedQuery",
            "Resource": "*"
        },
        {
            "Sid": "AllowCleanroomsGetSchemaAndGetAnalysisTemplateForMLInputChannel",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetSchema",
                "cleanrooms:GetCollaborationAnalysisTemplate"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowCleanRoomsGetAndUpdateQueryForMLInputChannel",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetProtectedQuery",
                "cleanrooms:UpdateProtectedQuery"
            ],
            "Resource": [
                "arn:aws:cleanrooms:us-east-1:111122223333:membership/queryRunnerMembershipId"
            ]
        }
    ]
}

  5. Sostituisci ognuna placeholder con le tue informazioni:

    • region: nome della Regione AWS. Ad esempio, us-east-1.

    • queryRunnerAccountId— L' Account AWS ID dell'account che eseguirà le query.

    • queryRunnerMembershipId— L'ID di iscrizione del membro che può effettuare la richiesta. L'ID di iscrizione si trova nella scheda Dettagli della collaborazione. Ciò garantisce AWS Clean Rooms che assuma il ruolo solo quando questo membro esegue l'analisi in questa collaborazione.

  6. Scegli Avanti.

  7. Per Rivedi e crea, inserisci il nome e la descrizione della policy e rivedi il riepilogo.

  8. Scegli Crea policy.

    Hai creato una politica per AWS Clean Rooms.

  9. In Access management (Gestione accessi), scegli Roles (Ruoli).

    Con Roles, puoi creare credenziali a breve termine, il che è consigliato per una maggiore sicurezza. Puoi anche scegliere Utenti per creare credenziali a lungo termine.

  10. Scegliere Crea ruolo.

  11. Nella procedura guidata Crea ruolo, per Tipo di entità attendibile, scegli Politica di attendibilità personalizzata.

  12. Copia e incolla la seguente politica di fiducia personalizzata nell'editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    The SourceAccount è sempre il tuo Account AWS The SourceArn può essere limitato a uno specifico set di dati di addestramento, ma solo dopo la creazione di quel set di dati. Poiché non conosci ancora l'ARN del set di dati di addestramento, qui viene specificato il carattere jolly.

  13. Scegli Avanti.

  14. Seleziona la casella di controllo accanto al nome della policy creata, quindi scegli Avanti.

  15. Per Nome, revisione e creazione, inserisci il nome e la descrizione del ruolo.

    Nota

    Il nome del ruolo deve corrispondere allo schema delle passRole autorizzazioni concesse al membro che può richiedere e ricevere risultati e ruoli membro.

    1. Rivedi Seleziona le entità attendibili e modifica se necessario.

    2. Rivedi le autorizzazioni in Aggiungi autorizzazioni e modificale se necessario.

    3. Rivedi i tag e aggiungili se necessario.

    4. Scegliere Crea ruolo.

Hai creato il ruolo di servizio per AWS Clean Rooms.

Crea un ruolo di servizio per creare un'associazione di tabelle configurata

AWS Clean Rooms utilizza un ruolo di servizio per controllare chi può creare un'associazione di tabelle configurata. Puoi creare questo ruolo utilizzando la console se disponi delle autorizzazioni IAM necessarie. Se non disponi CreateRole delle autorizzazioni, chiedi al tuo amministratore di creare il ruolo del servizio.

Questo ruolo ti consente di utilizzare l' CreateConfiguredTableAssociation azione.

Creare un ruolo di servizio per consentire la creazione di un'associazione di tabelle configurata

  1. Accedi alla console IAM (https://console.aws.amazon.com/iam/) con il tuo account amministratore.

  2. In Gestione accessi scegli Policy.

  3. Seleziona Create Policy (Crea policy).

  4. Nell'editor delle policy, seleziona la scheda JSON, quindi copia e incolla la seguente policy.

    Nota

    Il seguente criterio di esempio supporta la creazione di un'associazione di tabelle configurata. Tuttavia, potrebbe essere necessario modificare questa policy a seconda di come hai impostato i tuoi dati Amazon S3. Questa policy non include una chiave KMS per decrittografare i dati.

    Le tue risorse Amazon S3 devono essere incluse nella collaborazione. Regione AWS AWS Clean Rooms

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/KMS-key-ID",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::bucket-name",
            "Effect": "Allow"
        },
        {
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucket-name/*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:BatchGetPartition"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:catalog",
                "arn:aws:glue:us-east-1:111122223333:database/Glue database name",
                "arn:aws:glue:us-east-1:111122223333:table/Glue database name/Glue table name"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "glue:GetSchema",
                "glue:GetSchemaVersion"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}
    Sostituisci gli ARN delle risorse segnaposto

    Quando si utilizza questo criterio, è necessario sostituire gli identificatori segnaposto delle risorse con gli ARN effettivi delle risorse:

    • AWS KMS Risorsa chiave: sostituiscila KMS-key-ID con l'ID AWS KMS chiave effettivo che crittografa i tuoi dati Amazon S3. La chiave deve trovarsi nello stesso account (111122223333) che possiede le risorse del catalogo. AWS Glue

    • Amazon S3 Bucket Resources: sostituiscilo bucket-name con il nome effettivo del bucket Amazon S3 che contiene i dati della tabella. AWS Glue Tieni presente che gli ARN dei bucket Amazon S3 non includono gli ID degli account poiché i nomi dei bucket sono univoci a livello globale.

    • AWS Glue Risorse: sostituisci i seguenti segnaposto con i nomi effettivi delle tue risorse:

      • Glue database name- Il nome del tuo database AWS Glue

      • Glue table name- Il nome della tua AWS Glue tabella

    Tutte le AWS Glue risorse (catalogo, database e tabella) devono trovarsi nella stessa Account AWS (111122223333) per garantire autorizzazioni di accesso coerenti. Questo account deve essere lo stesso proprietario della AWS KMS chiave utilizzata per la crittografia dei dati, creando un limite di sicurezza unificato per le risorse di dati. AWS Clean Rooms

  5. Sostituisci ciascuno placeholder con le tue informazioni:

    • KMS key used to encrypt the Amazon S3 data— La chiave KMS utilizzata per crittografare i dati di Amazon S3. Per decrittografare i dati, devi fornire la stessa chiave KMS utilizzata per crittografare i dati.

    • Amazon S3 bucket of AWS Glue table— Il nome del bucket Amazon S3 che contiene la tabella che contiene i AWS Glue tuoi dati.

    • region: nome della Regione AWS. Ad esempio, us-east-1.

    • accountId— L' Account AWS ID dell'account che possiede i dati.

    • AWS Glue database name— Il nome del AWS Glue database che contiene i tuoi dati.

    • AWS Glue table name— Il nome della AWS Glue tabella che contiene i tuoi dati.

  6. Scegli Avanti.

  7. Per Rivedi e crea, inserisci il nome e la descrizione della politica e rivedi il riepilogo.

  8. Scegli Crea policy.

    Hai creato una politica per AWS Clean Rooms.

  9. In Access management (Gestione accessi), scegli Roles (Ruoli).

    Con Roles, puoi creare credenziali a breve termine, il che è consigliato per una maggiore sicurezza. Puoi anche scegliere Utenti per creare credenziali a lungo termine.

  10. Scegliere Crea ruolo.

  11. Nella procedura guidata di creazione del ruolo, per il tipo di entità attendibile, scegli Politica di fiducia personalizzata.

  12. Copia e incolla la seguente politica di fiducia personalizzata nell'editor JSON.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms-ml.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    The SourceAccount è sempre il tuo Account AWS The SourceArn può essere limitato a uno specifico set di dati di addestramento, ma solo dopo la creazione di quel set di dati. Poiché non conosci ancora l'ARN del set di dati di addestramento, qui viene specificato il carattere jolly.

  13. Scegli Avanti.

  14. Seleziona la casella di controllo accanto al nome della policy creata, quindi scegli Avanti.

  15. Per Nome, revisione e creazione, inserisci il nome e la descrizione del ruolo.

    Nota

    Il nome del ruolo deve corrispondere allo schema delle passRole autorizzazioni concesse al membro che può richiedere e ricevere risultati e ruoli membro.

    1. Rivedi Seleziona le entità attendibili e modifica se necessario.

    2. Rivedi le autorizzazioni in Aggiungi autorizzazioni e modificale se necessario.

    3. Rivedi i tag e aggiungili se necessario.

    4. Scegliere Crea ruolo.

Hai creato il ruolo di servizio per AWS Clean Rooms.