View a markdown version of this page

AWS Políticas gerenciadas para registro de modelos - SageMaker IA da Amazon
AmazonSageMakerModelRegistryFullAccessAtualizações da política do Registro de Modelos

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

AWS Políticas gerenciadas para registro de modelos

Essas políticas AWS gerenciadas adicionam as permissões necessárias para usar o Model Registry. As políticas estão disponíveis em sua AWS conta e são usadas por funções de execução criadas no console do Amazon SageMaker AI.

AWS política gerenciada: AmazonSageMakerModelRegistryFullAccess

Essa política AWS gerenciada concede as permissões necessárias para usar todos os recursos do Registro de Modelos dentro de um domínio do Amazon SageMaker AI. Essa política é anexada a um perfil de execução ao definir as configurações do Registro de Modelos para habilitar as permissões do Registro de Modelos.

Esta política inclui as seguintes permissões.

  • ecr: permite que as entidades principais recuperem informações, incluindo metadados, sobre imagens do Amazon Elastic Container Registry (Amazon ECR).

  • iam— Permite que os diretores passem a função de execução para o serviço Amazon SageMaker AI.

  • resource-groups— Permite que os diretores criem, listem, marquem e Grupos de recursos da AWS excluam.

  • s3: permite que entidades principais recuperem objetos dos buckets do Amazon Simple Storage Service (Amazon S3) nos quais as versões do modelo são armazenadas. Os objetos recuperáveis são limitados àqueles cujo nome que não diferencia maiúsculas de minúsculas contenha a sequência. "sagemaker"

  • sagemaker— permite que os diretores cataloguem, gerenciem e implantem modelos usando o Registro de SageMaker Modelos.

  • kms— Permite que somente o diretor do serviço de SageMaker IA adicione uma concessão, gere chaves de dados, descriptografe e leia AWS KMS chaves, e somente chaves marcadas para uso “sagemaker”.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AmazonSageMakerModelRegistrySageMakerReadPermission",
      "Effect": "Allow",
      "Action": [
        "sagemaker:DescribeAction",
        "sagemaker:DescribeInferenceRecommendationsJob",
        "sagemaker:DescribeModelPackage",
        "sagemaker:DescribeModelPackageGroup",
        "sagemaker:DescribePipeline",
        "sagemaker:DescribePipelineExecution",
        "sagemaker:ListAssociations",
        "sagemaker:ListArtifacts",
        "sagemaker:ListModelMetadata",
        "sagemaker:ListModelPackages",
        "sagemaker:Search",
        "sagemaker:GetSearchSuggestions"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistrySageMakerWritePermission",
      "Effect": "Allow",
      "Action": [
        "sagemaker:AddTags",
        "sagemaker:CreateModel",
        "sagemaker:CreateModelPackage",
        "sagemaker:CreateModelPackageGroup",
        "sagemaker:CreateEndpoint",
        "sagemaker:CreateEndpointConfig",
        "sagemaker:CreateInferenceRecommendationsJob",
        "sagemaker:DeleteModelPackage",
        "sagemaker:DeleteModelPackageGroup",
        "sagemaker:DeleteTags",
        "sagemaker:UpdateModelPackage"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryS3GetPermission",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::*SageMaker*",
        "arn:aws:s3:::*Sagemaker*",
        "arn:aws:s3:::*sagemaker*"
      ]
    },
    {
      "Sid": "AmazonSageMakerModelRegistryS3ListPermission",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryECRReadPermission",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:DescribeImages"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryIAMPassRolePermission",
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::*:role/*",
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "sagemaker.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryTagReadPermission",
      "Effect": "Allow",
      "Action": [
        "tag:GetResources"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupGetPermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:GetGroupQuery"
      ],
      "Resource": "arn:aws:resource-groups:*:*:group/*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupListPermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:ListGroupResources"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupWritePermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:CreateGroup",
        "resource-groups:Tag"
      ],
      "Resource": "arn:aws:resource-groups:*:*:group/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": "sagemaker:collection"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupDeletePermission",
      "Effect": "Allow",
      "Action": "resource-groups:DeleteGroup",
      "Resource": "arn:aws:resource-groups:*:*:group/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/sagemaker:collection": "true"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceKMSPermission",
      "Effect": "Allow",
      "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey",
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:*:*:key/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/sagemaker" : "true"
        },
        "StringLike": {
          "kms:ViaService": "sagemaker.*.amazonaws.com"
        }
      }
    }
  ]
}

Amazon SageMaker AI atualiza as políticas gerenciadas do Model Registry

Veja detalhes sobre atualizações nas políticas AWS gerenciadas do Model Registry desde que esse serviço começou a rastrear essas alterações. Para receber alertas automáticos sobre alterações nesta página, assine o feed RSS na página de histórico do SageMaker AI Document.

Política Versão Alteração Data

AmazonSageMakerModelRegistryFullAccess - Atualização em uma política existente

2

Adicione as permissões kms:CreateGrant, kms:DescribeKey, kms:GenerateDataKey e kms:Decrypt.

 6 de junho de 2024

AmazonSageMakerModelRegistryFullAccess - Nova política

1

Política inicial

 12 de abril de 2023