As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Gerenciamento de identidades

Esta seção discute como os usuários da força de trabalho em um diretório corporativo se federam Contas da AWS e SageMaker acessam o AI Studio. Primeiro, descreveremos brevemente como usuários, grupos e perfis são mapeados e como funciona a federação de usuários.

Usuários, grupos e perfil

Em AWS, as permissões de recursos são gerenciadas usando usuários, grupos e funções. Os clientes podem gerenciar seus usuários e grupos por meio de ou em um diretório corporativoIAM, como o Active Directory (AD), habilitado por meio de um IdP externo, como o Okta, que permite autenticar os usuários em vários aplicativos executados na nuvem e no local.

Conforme discutido na seção Gerenciamento de Identidades do AWS Security Pillar, é uma prática recomendada gerenciar suas identidades de usuário em um IdP central, pois isso ajuda a se integrar facilmente aos seus processos de RH de back-end e ajuda a gerenciar o acesso aos usuários da sua força de trabalho.

IdPs como o Okta, permitem que os usuários finais se autentiquem em uma ou mais Contas da AWS e tenham acesso a funções específicas usando a linguagem de marcação SSO de asserção de segurança (). SAML Os administradores do IdP têm a capacidade de baixar funções do Contas da AWS IdP e atribuí-las aos usuários. Ao fazer login AWS, os usuários finais recebem uma AWS tela que exibe uma lista de AWS funções atribuídas a eles em uma ou mais Contas da AWS. Eles podem selecionar o perfil a ser assumido para o login, o que define suas permissões durante a sessão autenticada.

Um grupo deve existir no IdP para cada combinação específica de conta e perfil à qual você deseja fornecer acesso. Você pode pensar nesses grupos como grupos de perfis específicas da AWS . Qualquer usuário que seja membro desses grupos de perfis específicos recebe um único direito: acesso a um perfil específico em uma Conta da AWS específica. No entanto, esse processo único de atribuição de direitos não é escalável para gerenciar o acesso do usuário ao atribuir cada usuário a grupos de perfis específicos da AWS . Para simplificar a administração, recomendamos que você também crie vários grupos para todos os conjuntos de usuários distintos em sua organização que exigem conjuntos diferentes de AWS direitos.

Para ilustrar a configuração do IdP central, considere uma empresa com configuração do AD, em que usuários e grupos são sincronizados com o diretório do IdP. Em AWS, esses grupos do AD são mapeados para IAM funções. As principais etapas do fluxo de trabalho são as seguintes:

Para obter instruções detalhadas sobre como configurar a federação de SAML contas, consulte Como configurar SAML 2.0 para federação de AWS contas da Okta.

Federação de usuários

A autenticação para o SageMaker AI Studio pode ser feita usando IAM ou IAM iDC. Se os usuários forem gerenciados por meio deIAM, eles poderão escolher o IAM modo. Se a empresa usar um IdP externo, ela poderá se federar por meio IAM de ou IdC. IAM Observe que o modo de autenticação não pode ser atualizado para um domínio existente do SageMaker AI Studio, portanto, é fundamental tomar a decisão antes de criar um domínio do SageMaker AI Studio de produção.

Se o SageMaker AI Studio estiver configurado no IAM modo, os usuários do SageMaker AI Studio acessam o aplicativo por meio de um pré-assinado URL que conecta automaticamente o usuário ao aplicativo SageMaker AI Studio quando acessado por meio de um navegador.

Usuários do IAM

Para IAM os usuários, o administrador cria perfis de usuário do SageMaker AI Studio para cada usuário e associa o perfil do usuário a uma IAM função que permite as ações necessárias que o usuário precisa realizar de dentro do Studio. Para impedir que um AWS usuário acesse somente seu perfil de usuário do SageMaker AI Studio, o administrador deve marcar o perfil de usuário do SageMaker AI Studio e anexar uma IAM política ao usuário que permita que ele acesse somente se o valor da tag for igual ao nome do AWS usuário. A declaração de política é assim:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonSageMakerPresignedUrlPolicy",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreatePresignedDomainUrl"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "sagemaker:ResourceTag/studiouserid": "${aws:username}" 
                }
            }
        }
    ]
}

AWS IAMou federação de contas

O método de Conta da AWS federação permite que os clientes se federem no SageMaker AI Console a partir de seu SAML IdP, como o Okta. Para impedir que os usuários acessem somente seu perfil de usuário, o administrador deve marcar o perfil de usuário do SageMaker AI Studio, adicionar PrincipalTags o IdP e defini-lo como tags transitivas. O diagrama a seguir mostra como o usuário federado (Data Scientist Alice) está autorizado a acessar seu próprio perfil de usuário do SageMaker AI Studio.

Se você quiser automatizar a criação de funções e políticas de execução de SageMaker IA como parte da integração do usuário, a seguir está uma maneira de fazer isso:

Configure um processo de automação que escute o evento de SageMaker AI-Account1-Group associação e use AWS APIs para criar a função, as políticas, as tags e o perfil de usuário do SageMaker AI Studio com base em suas associações ao grupo AD. Anexe o perfil ao perfil de usuário. Para obter um exemplo de política, consulteImpedir que usuários do SageMaker AI Studio acessem outros perfis de usuário.

SAMLautenticação usando AWS Lambda

No IAM modo, os usuários também podem ser autenticados no SageMaker AI Studio usando SAML afirmações. Nessa arquitetura, o cliente tem um IdP existente, onde ele pode criar um SAML aplicativo para que os usuários acessem o Studio (em vez do aplicativo AWS Identity Federation). O IdP do cliente é adicionado a. IAM Uma AWS Lambda função ajuda a validar a SAML afirmação usando IAM eSTS, em seguida, invoca um gateway API ou uma função Lambda diretamente para criar o domínio pré-assinado. URL

A vantagem dessa solução é que a função Lambda pode personalizar a lógica para acesso ao SageMaker AI Studio. Por exemplo:

Em resumo, essa solução exporá o SageMaker AI Studio como um aplicativo SAML2 4.0 com lógica personalizada para autenticação e autorização. Consulte a seção do apêndice Acesso ao SageMaker Studio usando SAML asserção para obter detalhes de implementação.

AWSIAMfederação iDC

O método de federação do IdC permite que os clientes se federem diretamente no aplicativo SageMaker AI Studio a partir de seu SAML IdP (como o Okta). O diagrama a seguir mostra como o usuário federado está autorizado a acessar sua própria instância do SageMaker AI Studio.

Orientação de autenticação de domínio

Aqui estão algumas considerações ao escolher o modo de autenticação de um domínio: