Configurar aplicativos de IA de parceiros

Conceda permissões para AWS Marketplace. Os administradores do Partner AI Apps precisam dessas permissões para comprar assinaturas do Partner AI Apps em. AWS Marketplace Para ter acesso AWS Marketplace, os administradores devem anexar a política AWSMarketplaceManageSubscriptions gerenciada à função do IAM que estão usando para acessar o console de SageMaker IA e comprar o aplicativo. Para obter detalhes sobre a política AWSMarketplaceManageSubscriptions gerenciada, consulte políticas AWS gerenciadas para AWS Marketplace compradores. Para obter informações sobre como anexar políticas gerenciadas, consulte Adicionar e remover permissões de identidade do IAM.

Conceda permissões para que a SageMaker IA execute operações em nome dos administradores usando outros. Serviços da AWS Os administradores devem conceder permissões de SageMaker IA para usar esses serviços e os recursos com os quais eles atuam. A definição de política a seguir demonstra como conceder as permissões necessárias do Partner AI Apps. Essas permissões são necessárias além das permissões existentes para a função de administrador. Para obter mais informações, consulte Como usar funções de execução de SageMaker IA.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreatePartnerApp",
                "sagemaker:DeletePartnerApp",
                "sagemaker:UpdatePartnerApp",
                "sagemaker:DescribePartnerApp",
                "sagemaker:ListPartnerApps",
                "sagemaker:CreatePartnerAppPresignedUrl",
                "sagemaker:CreatePartnerApp",
                "sagemaker:AddTags",
                "sagemaker:ListTags",
                "sagemaker:DeleteTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                     "iam:PassedToService": "sagemaker.amazonaws.com"
                 } 
            }
        }
    ]
}

Os aplicativos de IA de parceiros exigem uma função de execução para interagir com os recursos no Conta da AWS. Os administradores podem criar essa função de execução usando o. AWS CLI O Partner AI App usa essa função para concluir ações relacionadas à funcionalidade do Partner AI App.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Crie a função AWS License Manager vinculada ao serviço seguindo as etapas em Criar uma função vinculada ao serviço para o License Manager. 

Conceda permissões para que o Partner AI App acesse o License Manager usando AWS CLI o. Essas permissões são necessárias para acessar as licenças do Partner AI App. Isso permite que o Partner AI App verifique o acesso à licença do Partner AI App.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Se o aplicativo Partner AI exigir acesso a um bucket do Amazon S3, adicione as permissões do Amazon S3 à função de execução. Para obter mais informações, consulte Permissões necessárias para operações de API do Amazon S3.

Conceda permissões para que a SageMaker IA execute operações em seu nome usando outros Serviços da AWS. Os administradores devem conceder permissões de SageMaker IA para usar esses serviços e os recursos com os quais eles atuam. Os administradores concedem essas permissões à SageMaker AI usando uma função de execução do IAM. Para obter mais informações sobre as funções do IAM, consulte Funções do IAM. A definição de política a seguir demonstra como conceder as permissões necessárias do Partner AI Apps. Essa política pode ser adicionada à função de execução do perfil do usuário.  Para obter mais informações, consulte Como usar funções de execução de SageMaker IA.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribePartnerApp",
                "sagemaker:ListPartnerApps",
                "sagemaker:CreatePartnerAppPresignedUrl"
            ],
            "Resource": "arn:aws:sagemaker:*:*:partner-app/app-*"
        }
    ]
}

(Opcional) Ao iniciar os aplicativos Partner AI do Studio, adicione a política de sts:TagSession confiança à função usada para iniciar o Studio ou os Partner AI Apps diretamente da seguinte forma. Isso garante que a identidade possa ser propagada adequadamente.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Opcional) Se estiver usando o SDK de um aplicativo Partner AI para acessar a funcionalidade na SageMaker IA, adicione a seguinte CallPartnerAppApi permissão à função usada para executar o código do SDK. Se estiver executando o código do SDK do Studio, adicione a permissão à função de execução do Studio. Se estiver executando o código de qualquer lugar que não seja o Studio, adicione a permissão à função do IAM usada com o notebook. Isso dá ao usuário acesso à funcionalidade do Partner AI App a partir do SDK do Partner AI App.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CallPartnerAppApi"
            ],
            "Resource": [
                "arn:aws:sagemaker:region:account:partner-app/app"
            ]
        }
    ]
}