Configurar aplicativos de IA para parceiros

Conceda permissões para AWS Marketplace. Os administradores do Partner AI Apps precisam dessas permissões para comprar assinaturas do Partner AI Apps em. AWS Marketplace Para ter acesso AWS Marketplace, os administradores devem anexar a política AWSMarketplaceManageSubscriptions gerenciada à função do IAM que estão usando para acessar o console de SageMaker IA e comprar o aplicativo. Para obter detalhes sobre a política AWSMarketplaceManageSubscriptions gerenciada, consulte políticas AWS gerenciadas para AWS Marketplace compradores. Para ter informações sobre como anexar políticas gerenciadas, Adicionar e remover permissões de identidade do IAM.

Conceda permissões para que a SageMaker IA execute operações em nome dos administradores usando outros. Serviços da AWS Os administradores devem conceder permissões de SageMaker IA para usar esses serviços e os recursos com os quais eles atuam. A definição de política a seguir demonstra como conceder as permissões necessárias para os aplicativos de IA para parceiros. Além das permissões existentes para o perfil de administrador, essas permissões também são necessárias. Para obter mais informações, consulte Como usar funções de execução de SageMaker IA.

O recurso Aplicativos de IA para Parceiros exige um perfil de execução para interagir com os recursos na Conta da AWS. Os administradores podem criar esse perfil de execução usando a AWS CLI. O aplicativo de IA para parceiros usa esse perfil para executar ações relacionadas à funcionalidade Aplicativos de IA para Parceiros.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Crie a função AWS License Manager vinculada ao serviço seguindo as etapas em Criar uma função vinculada ao serviço para o License Manager. 

Conceda permissões para que o aplicativo de IA para parceiros acesse o License Manager usando a AWS CLI. Essas permissões são necessárias para acessar as licenças do aplicativo de IA para parceiros. Isso permite que o aplicativo de IA para parceiros verifique o acesso à licença do aplicativo.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Se o aplicativo de IA para parceiros exigir acesso a um bucket do Amazon S3, adicione as permissões do Amazon S3 ao perfil de execução. Para ter mais informações, consulte Permissões obrigatórias para operações de API do Amazon S3.

Certifique-se de que a função de execução do Partner AI App tenha as permissões necessárias do Amazon Bedrock. Adicione as seguintes permissões para permitir o acesso ao modelo Amazon Bedrock:

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name BedrockInferencePolicy --policy-document '{
	   "Version": "2012-10-17",
	   "Statement": {
	     "Effect": "Allow",
	     "Action": [
	       "bedrock:InvokeModel",
	       "bedrock:GetFoundationModel",
	       "bedrock:GetInferenceProfile"
	     ],
	     "Resource": "*"
	   }
	 }'

Identifique os modelos do Amazon Bedrock que sua organização deseja disponibilizar para o aplicativo Partner AI. Você pode ver os modelos disponíveis na sua região usando o console Amazon Bedrock. Para obter informações sobre a disponibilidade do modelo em todas as regiões, consulte Suporte de modelos por Região da AWS.

(Opcional) Crie perfis de inferência gerenciados pelo cliente para controle de custos e gerenciamento de modelos. Os perfis de inferência permitem que você acompanhe o uso do Amazon Bedrock especificamente para o aplicativo Partner AI e podem permitir a inferência entre regiões quando os modelos não estão disponíveis na sua região atual. Para obter mais informações, consulte Uso de perfis de inferência no Amazon Bedrock.

Ao criar ou atualizar o aplicativo Partner AI, especifique os modelos e perfis de inferência permitidos usando a UpdatePartnerApp API CreatePartnerApp ou. O aplicativo Partner AI só poderá acessar os modelos e perfis de inferência que você configura explicitamente.

Conceda permissões para que a SageMaker IA execute operações em seu nome usando outros Serviços da AWS. Os administradores devem conceder permissões de SageMaker IA para usar esses serviços e os recursos com os quais eles atuam. Os administradores concedem essas permissões à SageMaker AI usando uma função de execução do IAM. Para ter mais informações sobre perfis do IAM, consulte Perfis do IAM. A definição de política a seguir demonstra como conceder as permissões necessárias para os aplicativos de IA para parceiros. Essa política pode ser adicionada ao perfil de execução do perfil de usuário.  Para obter mais informações, consulte Como usar funções de execução de SageMaker IA.

(Opcional) Ao iniciar o recurso Aplicativos de IA para Parceiros no Studio, adicione a política de confiança sts:TagSession ao perfil usado para iniciar o Studio ou iniciar diretamente o recurso Aplicativos de IA para Parceiros da forma a seguir. Isso garante que a identidade possa ser propagada adequadamente.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Opcional) Se estiver usando o SDK de um aplicativo Partner AI para acessar a funcionalidade na SageMaker IA, adicione a seguinte CallPartnerAppApi permissão à função usada para executar o código do SDK. Se estiver executando o código do SDK no Studio, adicione a permissão ao perfil de execução do Studio. Se estiver executando o código de qualquer lugar que não seja o Studio, adicione a permissão ao perfil do IAM usado com o caderno. Isso dá ao usuário acesso à funcionalidade Aplicativos de IA para Parceiros por meio do SDK do aplicativo de IA para parceiros.