パートナー AI アプリケーションを設定する

のアクセス許可を付与しますAWS Marketplace。パートナー AI アプリの管理者は、パートナー AI アプリのサブスクリプションを から購入するために、これらのアクセス許可が必要ですAWS Marketplace。AWS Marketplace にアクセスするには、管理者は SageMaker AI コンソールにアクセスしてアプリケーションを購入するために使用する IAM ロールに AWSMarketplaceManageSubscriptions マネージドポリシーをアタッチする必要があります。管理ポリシーの詳細については、AWSMarketplaceManageSubscriptionsAWSAWS Marketplace「 購入者の 管理ポリシー」を参照してください。IAM ポリシーのアタッチに関する詳細については、IAM ユーザーガイドの「IAM ID のアクセス許可の追加および削除」を参照してください。

SageMaker AI は他の AWS のサービスを使用して管理者に代わってオペレーションを実行するアクセス許可を付与します。これらのサービスとサービスが動作するリソースを使用するには、SageMaker アクセス許可を付与する必要があります。次のポリシー定義は、必要な Partner AI アプリケーションにアクセス許可を付与する方法を説明しています。これらのアクセス許可は、管理者ロールの既存のアクセス許可に加えて必要です。詳細については、「SageMaker AI 実行ロールの使用方法」を参照してください。

パートナー AI アプリケーションでは、AWS アカウントのリソースを操作するために実行ロールが必要です。管理者は、AWS CLI を使用してこの実行ロールを作成できます。パートナー AI アプリケーションはこのロールを使用して、パートナー AI アプリケーションの機能に関連するアクションを完了します。

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

「License Manager AWS License Managerのサービスにリンクされたロールを作成する」の手順に従って、サービスにリンクされたロールを作成します。 https://docs.aws.amazon.com/license-manager/latest/userguide/license-manager-role-core.html#create-slr-core 

AWS CLI を使用して License Manager にアクセスするために、パートナー AI アプリケーションにアクセス許可を付与します。これらのアクセス許可は、パートナー AI アプリケーションのライセンスにアクセスするために必要です。これにより、パートナー AI アプリケーションは、パートナー AI アプリケーションのライセンスへのアクセスを検証できます。

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

パートナー AI アプリケーションが Amazon S3 バケットにアクセスする必要がある場合は、実行ロールに Amazon S3 アクセス許可を追加します。詳細については、「Amazon S3 API オペレーションに必要なアクセス許可」を参照してください。

パートナー AI アプリ実行ロールに必要な Amazon Bedrock アクセス許可があることを確認します。Amazon Bedrock モデルアクセスを有効にするには、次のアクセス許可を追加します。

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name BedrockInferencePolicy --policy-document '{
	   "Version": "2012-10-17",		 	 	 
	   "Statement": {
	     "Effect": "Allow",
	     "Action": [
	       "bedrock:InvokeModel",
	       "bedrock:GetFoundationModel",
	       "bedrock:GetInferenceProfile"
	     ],
	     "Resource": "*"
	   }
	 }'

組織がパートナー AI アプリを利用できるようにする Amazon Bedrock モデルを特定します。Amazon Bedrock コンソールを使用して、リージョンで使用可能なモデルを表示できます。リージョン間のモデルの可用性については、「Model support byAWS リージョン」を参照してください。

(オプション) コスト追跡とモデル管理のためのカスタマーマネージド推論プロファイルを作成します。推論プロファイルを使用すると、パートナー AI アプリ専用の Amazon Bedrock 使用状況を追跡し、現在のリージョンでモデルが利用できない場合にクロスリージョン推論を有効にできます。詳細については、「Amazon Bedrock での推論プロファイルの使用」を参照してください。

パートナー AI アプリを作成または更新するときは、 CreatePartnerApp または UpdatePartnerApp API を使用して、許可されたモデルと推論プロファイルを指定します。パートナー AI アプリは、明示的に設定したモデルと推論プロファイルにのみアクセスできます。

SageMaker AI は他の AWS のサービスを使用してユーザーに代わってオペレーションを実行するアクセス許可を付与します。これらのサービスとサービスが動作するリソースを使用するには、SageMaker アクセス許可を付与する必要があります。SageMaker AI にこれらのアクセス許可を付与するには、IAM 実行ロールを使用します。IAM ロールの詳細については、「IAM ロール」を参照してください。次のポリシー定義は、必要な Partner AI アプリケーションにアクセス許可を付与する方法を説明しています。このポリシーは、ユーザープロファイルの実行ロールに追加できます。  詳細については、「SageMaker AI 実行ロールの使用方法」を参照してください。

(オプション) Studio からパートナー AI アプリケーションを起動する場合は、次のとおり、Studio またはパートナー AI アプリケーションを直接起動するために使用されるロールに sts:TagSession 信頼ポリシーを追加します。これにより、ID が適切に伝播されます。

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(オプション) パートナー AI アプリケーションの SDK を使用して SageMaker AI の機能にアクセスする場合は、SDK コードの実行に使用されるロールに次の CallPartnerAppApi アクセス許可を追加します。Studio から SDK コードを実行する場合は、Studio 実行ロールにこのアクセス許可を追加します。Studio 以外の場所からコードを実行する場合は、ノートブックで使用される IAM ロールにアクセス許可を追加します。これにより、ユーザーはパートナー AI アプリケーションの SDK からパートナー AI アプリケーション機能にアクセスできるようになります。