Studio での Amazon EKS クラスターの設定

アクセスの管理ページで、既存のドメインを選択します。HyperPod クラスターへの Studio アクセスはドメインを介して実行され、ドメイン実行ロールは Studio がクラスターで動作するために使用する IAM プリンシパルです。ドメインの作成については、「Amazon SageMaker AI のセットアップガイド」を参照してください。

IAM コンソールから実行ロールに次のアクセス許可をアタッチします。

SageMaker AI 実行ロールとその編集方法については、「ドメインスペースのアクセス許可と実行ロールを理解する」を参照してください。

IAM ユーザーまたはグループにポリシーをアタッチする方法については、「IAM ID のアクセス許可の追加および削除」を参照してください。

ポリシーをアタッチする前に、両方のサンプル ARNs独自の ARN に置き換えます。

これらは、2 つの異なる ARNs。HyperPod クラスター ARN は SageMaker AI コンソールで、Amazon EKS クラスター ARN は Amazon EKS コンソールで検索します。サンプル値をそのままにすると、Studio はクラスターを記述できず、タスクタブはロードされません。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DescribeHyperpodClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeCluster"
            ],
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:cluster/hyperpod-cluster-name"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:CompleteLayerUpload",
                "ecr:GetAuthorizationToken",
                "ecr:UploadLayerPart",
                "ecr:InitiateLayerUpload",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "cloudwatch:GetMetricData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "UseEksClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:AccessKubernetesApi",
                "eks:MutateViaKubernetesApi"
            ],
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name"
        },
        {
            "Sid": "DescribeSpacesAddon",
            "Effect": "Allow",
            "Action": "eks:DescribeAddon",
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name/*"
        },
        {
            "Sid": "ListClustersPermission",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListClusters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:TerminateSession"
            ],
            "Resource": "*"
        }
    ]
}

クラスターアクセスポリシーを実行ロールにアタッチします。前のステップの IAM ポリシーでは、実行ロールが AWS APIs を呼び出すことができます。Kubernetes クラスター内のアクセス許可はロールに付与されません。クラスターアクセスポリシーはこれを行い、適切なロールがアタッチされたロールのみがクラスターに到達します。ドメインまたはユーザープロファイルのアクセス管理からアタッチします。

アクセスを許可するドメインまたはユーザープロファイルの実行ロールを選択し、ユーザーが必要とするポリシーを選択します。名前空間へのアクセスをスコープするか、クラスター全体へのアクセスをスコープするかを選択し、チームがクラスターを共有するときに名前空間にスコープしてから保存します。名前空間にスコープすると、ユーザーが Studio で表示できるタスクも制限されます。各ポリシーで許可される内容、アクセスの範囲指定方法、代わりにアクセス許可のカスタムセットを付与する方法については、「」を参照してくださいStudio for EKS クラスターのタスクビューを制限する。

この方法でアクセスを許可すると、実行ロールの Amazon EKS アクセスエントリが作成されるため、Amazon EKS コンソールに個別のステップはありません。アクセスモデルの概念については、「EKS アクセスエントリを使用して Kubernetes へのアクセス権を IAM ユーザーに付与する」を参照してください。

(オプション) エクスペリエンスを向上させるために、クラスターにタグを追加することをお勧めします。タグを追加する方法については、「SageMaker HyperPod クラスターを編集する」を参照し、SageMaker AI コンソールを使用してクラスターを更新します。

Amazon Managed Grafana ワークスペースを Studio ドメインにタグ付けします。このタグを使用して、Studio のクラスターから直接 Grafana ワークスペースにリンクします。次のタグをクラスターに追加して、Grafana ワークスペース ID である で識別しますws-id。

タグキー = 「grafana-workspace」、タグ値 = 「ws-id」

YAML の設定を cluster-role.yaml という名前のファイルに保存します。

Kubernetes ウェブサイトkubectlから を使用して設定を適用します。

kubectl apply -f cluster-role.yaml

設定の検証:

kubectl get clusterrole pods-events-crd-cluster-role
kubectl get clusterrolebinding pods-events-crd-cluster-role-binding

アイデンティティプロバイダーまたは IAM を介して pods-events-crd-cluster-level グループにユーザーを割り当てます。