Configurar um cluster do Amazon EKS no Studio

Na página Gerenciar acesso, selecione um domínio existente. O acesso do Studio a um HyperPod cluster é executado por meio de um domínio, e a função de execução do domínio é a principal do IAM que o Studio usa para atuar em seu cluster. Para ter informações sobre como criar um domínio, consulte Guia para se configurar com a Amazon SageMaker AI.

Anexe as seguintes permissões à sua função de execução a partir do console do IAM.

Para obter informações sobre funções de execução de SageMaker IA e como editá-las, consulteCompreendendo as permissões de espaço e os perfis de execução do domínio.

Para saber como anexar políticas a um grupo ou usuário do IAM, consulte Adicionar e remover permissões de identidade do IAM.

Antes de anexar a política, substitua os dois ARNs de exemplo pelos seus próprios:

Esses são dois recursos diferentes com dois ARNs diferentes. Encontre o ARN do HyperPod cluster no console do SageMaker AI e o ARN do cluster Amazon EKS no console do Amazon EKS. Se você deixar os valores de exemplo em vigor, o Studio não poderá descrever seu cluster e a guia Tarefas não será carregada.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DescribeHyperpodClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeCluster"
            ],
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:cluster/hyperpod-cluster-name"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:CompleteLayerUpload",
                "ecr:GetAuthorizationToken",
                "ecr:UploadLayerPart",
                "ecr:InitiateLayerUpload",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "cloudwatch:GetMetricData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "UseEksClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:AccessKubernetesApi",
                "eks:MutateViaKubernetesApi"
            ],
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name"
        },
        {
            "Sid": "DescribeSpacesAddon",
            "Effect": "Allow",
            "Action": "eks:DescribeAddon",
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name/*"
        },
        {
            "Sid": "ListClustersPermission",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListClusters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:TerminateSession"
            ],
            "Resource": "*"
        }
    ]
}

Anexe políticas de acesso ao cluster à função de execução. A política do IAM na etapa anterior permite que a função de execução chame as AWS APIs. Ele não concede à função nenhuma permissão dentro do cluster Kubernetes. Cluster-access as políticas fazem isso, e somente uma função com as corretas anexadas alcança o cluster. Anexe-os em Gerenciar acesso, no domínio ou no perfil do usuário.

Selecione a função de execução para o domínio ou perfil de usuário ao qual você está concedendo acesso e, em seguida, selecione as políticas de que seus usuários precisam. Escolha se deseja definir o escopo do acesso a um namespace ou a todo o cluster, definindo o escopo para um namespace quando as equipes compartilham um cluster e, em seguida, salve. O escopo de um namespace também restringe quais tarefas esses usuários podem ver no Studio. Para saber o que cada política permite, como definir o escopo do acesso e, em vez disso, conceder um conjunto personalizado de permissões, consulteRestringir a visualização de tarefas no Studio para clusters do EKS.

Conceder acesso dessa forma cria a entrada de acesso do Amazon EKS para a função de execução para você, portanto, não há uma etapa separada no console do Amazon EKS. Para os conceitos por trás do modelo de acesso, consulte Conceder aos usuários do IAM acesso ao Kubernetes com entradas de acesso EKS.

(Opcional) Para garantir uma experiência mais tranquila, recomendamos que você adicione tags aos seus clusters. Para obter informações sobre como adicionar tags, consulte Como Editar um SageMaker HyperPod cluster atualizar seu cluster usando o console de SageMaker IA.

Associe seu espaço de trabalho do Amazon Managed Grafana ao seu domínio do Studio. Use essa tag para vincular ao seu espaço de trabalho Grafana diretamente do seu cluster no Studio. Adicione a tag a seguir ao seu cluster para identificá-la com seu ID do espaço de trabalho Grafana,. ws-id

Chave da tag = “grafana-workspace”; valor da tag = “ws-id”.

Salve a configuração YAML em um arquivo denominado cluster-role.yaml.

Aplique a configuração usando o site kubectl do Kubernetes:

kubectl apply -f cluster-role.yaml

Verifique a configuração:

kubectl get clusterrole pods-events-crd-cluster-role
kubectl get clusterrolebinding pods-events-crd-cluster-role-binding

Atribua usuários ao grupo pods-events-crd-cluster-level por meio do seu provedor de identidades ou do IAM.