設定 AWS Clean Rooms ML 的服務角色

執行外觀建模所需的角色與使用自訂模型所需的角色不同。下列各節說明執行每個任務所需的角色。

主題

設定類似模型的服務角色
設定自訂建模的服務角色

設定類似模型的服務角色

主題

建立服務角色以讀取訓練資料
建立服務角色以撰寫外觀相似的客群
建立服務角色以讀取種子資料

建立服務角色以讀取訓練資料

AWS Clean Rooms使用服務角色來讀取訓練資料。如果您有必要的 IAM 許可，您可以使用主控台建立此角色。如果您沒有CreateRole許可，請要求管理員建立服務角色。

建立服務角色以訓練資料集

使用您的管理員帳戶登入 IAM 主控台 (https://console.aws.amazon.com/iam/：//)。
在 Access management (存取管理) 下，請選擇 Policies (政策)。
選擇 Create policy (建立政策)。

在政策編輯器中，選取 JSON 索引標籤，然後複製並貼上下列政策。

注意

下列範例政策支援讀取AWS Glue中繼資料及其對應 Amazon S3 資料所需的許可。不過，您可能需要根據設定 S3 資料的方式修改此政策。此政策不包含用於解密資料的 KMS 金鑰。

您的AWS Glue資源和基礎 Amazon S3 資源必須與AWS Clean Rooms協同合作AWS 區域位於相同的中。

JSON


{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:BatchGetPartition",
                "glue:GetUserDefinedFunctions"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:database/databases",
                "arn:aws:glue:us-east-1:111122223333:table/databases/tables",
                "arn:aws:glue:us-east-1:111122223333:catalog",
                "arn:aws:glue:us-east-1:111122223333:database/default"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "glue:CreateDatabase"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:database/default"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::bucket"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "111122223333"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketFolders/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "111122223333"
                    ]
                }
            }
        }
    ]
}

如果您需要使用 KMS 金鑰來解密資料，請將此AWS KMS陳述式新增至先前的範本：


{
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
    ]
}

將每個預留位置取代為您自己的資訊：
- region – 的名稱AWS 區域。例如 us-east-1。
- accountId – S3 儲存貯體所在的 AWS 帳戶ID。
- 資料庫/資料庫、table/databases/tables、目錄和資料庫/預設 – AWS Clean Rooms需要存取的訓練資料位置。
- 儲存貯體 – S3 儲存貯體的 Amazon Resource Name (ARN)。您可以在 Amazon S3 中儲存貯體的屬性索引標籤中找到 Amazon Resource Name (ARN)。 Amazon S3
- bucketFolders – AWS Clean Rooms需要存取的 S3 儲存貯體中特定資料夾的名稱。
選擇下一步。
針對檢閱和建立，輸入政策名稱和描述，然後檢閱摘要。
選擇建立政策。

您已為建立政策AWS Clean Rooms。
在 Access management (存取管理) 下，請選擇 Roles (角色)。

使用角色，您可以建立短期登入資料，為提高安全性而建議這麼做。您也可以選擇使用者來建立長期登入資料。
選擇建立角色。
在建立角色精靈中，針對信任的實體類型，選擇自訂信任政策。

將下列自訂信任政策複製並貼到 JSON 編輯器。

永遠SourceAccount是您的 AWS 帳戶。SourceArn 可以限制為特定的訓練資料集，但僅限於建立該資料集之後。由於您尚不知道訓練資料集 ARN，因此會在此處指定萬用字元。

accountId 是的 IDAWS 帳戶，其中包含訓練資料。

選擇下一步，然後在新增許可下，輸入您剛建立的政策名稱。（您可能需要重新載入頁面。)
選取您建立的政策名稱旁的核取方塊，然後選擇下一步。
針對名稱、檢閱和建立，輸入角色名稱和描述。

注意
角色名稱必須符合授予成員的passRole許可中的模式，該成員可以查詢和接收結果和成員角色。
1. 檢閱選取信任的實體，並視需要編輯。
2. 檢閱新增許可中的許可，並視需要編輯。
3. 檢閱標籤，並視需要新增標籤。
4. 選擇建立角色。

您已為建立服務角色AWS Clean Rooms。

建立服務角色以撰寫外觀相似的客群

AWS Clean Rooms使用服務角色將類似區段寫入儲存貯體。如果您有必要的 IAM 許可，您可以使用主控台建立此角色。如果您沒有CreateRole許可，請要求管理員建立服務角色。

建立服務角色以寫入類似區段

使用您的管理員帳戶登入 IAM 主控台 (https://console.aws.amazon.com/iam/：//)。
在 Access management (存取管理) 下，請選擇 Policies (政策)。
選擇 Create policy (建立政策)。

在政策編輯器中，選取 JSON 索引標籤，然後複製並貼上下列政策。

注意

下列範例政策支援讀取AWS Glue中繼資料及其對應 Amazon S3 資料所需的許可。不過，您可能需要根據設定 Amazon S3 資料的方式修改此政策。此政策不包含用於解密資料的 KMS 金鑰。

您的AWS Glue資源和基礎 Amazon S3 資源必須與AWS Clean Rooms協同合作AWS 區域位於相同的中。

如果您需要使用 KMS 金鑰來加密資料，請將此AWS KMS陳述式新增至範本：


{
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey*",
                "kms:ReEncrypt*",
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

將每個預留位置取代為您自己的資訊：
- 儲存貯體 – S3 儲存貯體的 Amazon Resource Name (ARN)。您可以在 Amazon S3 中儲存貯體的屬性索引標籤中找到 Amazon Resource Name (ARN)。 Amazon S3
- accountId – S3 儲存貯體所在的 AWS 帳戶ID。
- bucketFolders – AWS Clean Rooms需要存取的 S3 儲存貯體中特定資料夾的名稱。
- region – 的名稱AWS 區域。例如 us-east-1。
- keyId – 加密資料所需的 KMS 金鑰。
選擇下一步。
針對檢閱和建立，輸入政策名稱和描述，然後檢閱摘要。
選擇建立政策。

您已為建立政策AWS Clean Rooms。
在 Access management (存取管理) 下，請選擇 Roles (角色)。

使用角色，您可以建立短期登入資料，為提高安全性而建議這麼做。您也可以選擇使用者來建立長期登入資料。
選擇建立角色。
在建立角色精靈中，針對信任的實體類型，選擇自訂信任政策。

將下列自訂信任政策複製並貼到 JSON 編輯器。

選擇下一步。
選取您建立的政策名稱旁的核取方塊，然後選擇下一步。
針對名稱、檢閱和建立，輸入角色名稱和描述。

注意
角色名稱必須符合授予成員passRole許可中的模式，該成員可以查詢和接收結果和成員角色。
1. 檢閱選取信任的實體，並視需要編輯。
2. 檢閱新增許可中的許可，並視需要編輯。
3. 檢閱標籤，並視需要新增標籤。
4. 選擇建立角色。

您已為建立服務角色AWS Clean Rooms。

建立服務角色以讀取種子資料

AWS Clean Rooms使用服務角色讀取種子資料。如果您有必要的 IAM 許可，您可以使用主控台建立此角色。如果您沒有CreateRole許可，請要求管理員建立服務角色。

建立服務角色以讀取存放在 S3 儲存貯體中的種子資料。

使用您的管理員帳戶登入 IAM 主控台 (https://console.aws.amazon.com/iam/：//)。
在 Access management (存取管理) 下，請選擇 Policies (政策)。
選擇 Create policy (建立政策)。

在政策編輯器中，選取 JSON 索引標籤，然後複製並貼上下列其中一個政策。

注意

您的AWS Glue資源和基礎 Amazon S3 資源必須與AWS Clean Rooms協同合作AWS 區域位於相同的中。

注意

下列範例政策支援讀取 SQL 查詢結果並使用它做為輸入資料所需的許可。不過，您可能需要根據查詢的結構來修改此政策。此政策不包含用於解密資料的 KMS 金鑰。

如果您需要使用 KMS 金鑰來解密資料，請將此AWS KMS陳述式新增至範本：


{
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:region:accountId:key/keyId"
            ],
            "Condition": {
                "ArnLike": {
                        "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::bucketFolders*"
                }
            }
        }
  ]
}

將每個預留位置取代為您自己的資訊：
- 儲存貯體 – S3 儲存貯體的 Amazon Resource Name (ARN)。您可以在 Amazon S3 中儲存貯體的屬性索引標籤中找到 Amazon Resource Name (ARN)。 Amazon S3
- accountId – S3 儲存貯體所在的 AWS 帳戶ID。
- bucketFolders – AWS Clean Rooms需要存取的 S3 儲存貯體中特定資料夾的名稱。
- region – 的名稱AWS 區域。例如 us-east-1。
- queryRunnerAccountId – 將執行查詢的帳戶 AWS 帳戶ID。
- queryRunnerMembershipId – 可查詢之成員的成員 ID。您可以在協同合作的詳細資訊索引標籤中找到成員 ID。這可確保只有在此成員在此協同合作中執行分析時， AWS Clean Rooms才會擔任該角色。
- keyId – 加密資料所需的 KMS 金鑰。
選擇下一步。
針對檢閱和建立，輸入政策名稱和描述，然後檢閱摘要。
選擇建立政策。

您已為建立政策AWS Clean Rooms。
在 Access management (存取管理) 下，請選擇 Roles (角色)。

使用角色，您可以建立短期登入資料，為提高安全性而建議這麼做。您也可以選擇使用者來建立長期登入資料。
選擇建立角色。
在建立角色精靈中，針對信任的實體類型，選擇自訂信任政策。

將下列自訂信任政策複製並貼到 JSON 編輯器。

永遠SourceAccount是您的 AWS 帳戶。SourceArn 可以限制為特定的訓練資料集，但僅限於建立該資料集之後。由於您尚不知道訓練資料集 ARN，在此指定萬用字元。

選擇下一步。
選取您建立的政策名稱旁的核取方塊，然後選擇下一步。
針對名稱、檢閱和建立，輸入角色名稱和描述。

注意
角色名稱必須符合授予成員的passRole許可中的模式，該成員可以查詢和接收結果和成員角色。
1. 檢閱選取信任的實體，並視需要編輯。
2. 檢閱新增許可中的許可，並視需要編輯。
3. 檢閱標籤，並視需要新增標籤。
4. 選擇建立角色。

您已為建立服務角色AWS Clean Rooms。

設定自訂建模的服務角色

建立自訂 ML 建模的服務角色 - ML 組態

AWS Clean Rooms使用服務角色來控制誰可以建立自訂 ML 組態。如果您有必要的 IAM 許可，您可以使用主控台建立此角色。如果您沒有CreateRole許可，請要求您的管理員建立服務角色。

此角色可讓您使用 PutMLConfiguration 動作。

建立服務角色以允許建立自訂 ML 組態

使用您的管理員帳戶登入 IAM 主控台 (https://console.aws.amazon.com/iam/：//)。
在 Access management (存取管理) 下，請選擇 Policies (政策)。
選擇 Create policy (建立政策)。

在政策編輯器中，選取 JSON 索引標籤，然後複製並貼上下列政策。

注意

下列範例政策支援存取和寫入資料至 S3 儲存貯體以及發佈 CloudWatch 指標所需的許可。不過，您可能需要根據設定 Amazon S3 資料的方式修改此政策。此政策不包含用於解密資料的 KMS 金鑰。

您的 Amazon S3 資源必須與AWS Clean Rooms協同合作AWS 區域位於相同的中。

使用您自己的資訊取代每個預留位置：
- 儲存貯體 – S3 儲存貯體的 Amazon Resource Name (ARN)。您可以在 Amazon S3 中儲存貯體的屬性索引標籤中找到 Amazon Resource Name (ARN)。 Amazon S3
- region – 的名稱AWS 區域。例如 us-east-1。
- accountId – S3 儲存貯體所在的 AWS 帳戶ID。
- keyId – 加密資料所需的 KMS 金鑰。
選擇下一步。
針對檢閱和建立，輸入政策名稱和描述，然後檢閱摘要。
選擇建立政策。

您已為建立政策AWS Clean Rooms。
在 Access management (存取管理) 下，請選擇 Roles (角色)。

使用角色，您可以建立短期登入資料，為提高安全性而建議這麼做。您也可以選擇使用者來建立長期登入資料。
選擇建立角色。
在建立角色精靈中，針對信任的實體類型，選擇自訂信任政策。

將下列自訂信任政策複製並貼到 JSON 編輯器。

選擇下一步。
選取您建立的政策名稱旁的核取方塊，然後選擇下一步。
針對名稱、檢閱和建立，輸入角色名稱和描述。

注意
角色名稱必須符合授予成員的passRole許可中的模式，該成員可以查詢和接收結果和成員角色。
1. 檢閱選取信任的實體，並視需要編輯。
2. 檢閱新增許可中的許可，並視需要編輯。
3. 檢閱標籤，並視需要新增標籤。
4. 選擇建立角色。

您已為建立服務角色AWS Clean Rooms。

建立服務角色以提供自訂 ML 模型

AWS Clean Rooms使用服務角色來控制誰可以建立自訂 ML 模型演算法。如果您有必要的 IAM 許可，您可以使用主控台建立此角色。如果您沒有CreateRole許可，請要求您的管理員建立服務角色。

此角色可讓您使用 CreateConfiguredModelAlgorithm 動作。

建立服務角色以允許成員提供自訂 ML 模型

使用您的管理員帳戶登入 IAM 主控台 (https://console.aws.amazon.com/iam/：//)。
在 Access management (存取管理) 下，請選擇 Policies (政策)。
選擇 Create policy (建立政策)。

在政策編輯器中，選取 JSON 標籤，然後複製並貼上下列政策。

注意

下列範例政策支援擷取包含模型演算法之 Docker 映像所需的許可。不過，您可能需要根據設定 Amazon S3 資料的方式修改此政策。此政策不包含用於解密資料的 KMS 金鑰。

您的 Amazon S3 資源必須與AWS Clean Rooms協同合作AWS 區域位於相同的中。

將每個預留位置取代為您自己的資訊：
- region – 的名稱AWS 區域。例如 us-east-1。
- accountId – S3 儲存貯體所在的 AWS 帳戶ID。
- repoName – 包含您資料的儲存庫名稱。
選擇下一步。
針對檢閱和建立，輸入政策名稱和描述，然後檢閱摘要。
選擇建立政策。

您已為建立政策AWS Clean Rooms。
在 Access management (存取管理) 下，請選擇 Roles (角色)。

使用角色，您可以建立短期登入資料，為提高安全性而建議這麼做。您也可以選擇使用者來建立長期登入資料。
選擇建立角色。
在建立角色精靈中，針對信任的實體類型，選擇自訂信任政策。

將下列自訂信任政策複製並貼到 JSON 編輯器。

一律SourceAccount是您的 AWS 帳戶SourceArn可以限制在特定訓練資料集內，但僅限於建立該資料集之後。由於您尚不知道訓練資料集 ARN，在此指定萬用字元。

選擇下一步。
選取您建立的政策名稱旁的核取方塊，然後選擇下一步。
針對名稱、檢閱和建立，輸入角色名稱和描述。

注意
角色名稱必須符合授予成員的passRole許可中的模式，該成員可以查詢和接收結果和成員角色。
1. 檢閱選取信任的實體，並視需要編輯。
2. 檢閱新增許可中的許可，並視需要編輯。
3. 檢閱標籤，並視需要新增標籤。
4. 選擇建立角色。

您已為建立服務角色AWS Clean Rooms。

建立服務角色以查詢資料集

AWS Clean Rooms使用服務角色來控制誰可以查詢將用於自訂 ML 建模的資料集。如果您有必要的 IAM 許可，您可以使用主控台建立此角色。如果您沒有CreateRole許可，請要求您的管理員建立服務角色。

此角色可讓您使用 CreateMLInputChannel 動作。

建立服務角色以允許成員查詢資料集

使用您的管理員帳戶登入 IAM 主控台 (https://console.aws.amazon.com/iam/：//)。
在 Access management (存取管理) 下，請選擇 Policies (政策)。
選擇 Create policy (建立政策)。

在政策編輯器中，選取 JSON 索引標籤，然後複製並貼上下列政策。

注意

下列範例政策支援查詢將用於自訂 ML 建模的資料集所需的許可。不過，您可能需要根據設定 Amazon S3 資料的方式修改此政策。此政策不包含用於解密資料的 KMS 金鑰。

您的 Amazon S3 資源必須與AWS Clean Rooms協同合作AWS 區域位於相同的中。

將每個預留位置取代為您自己的資訊：
- region – 的名稱AWS 區域。例如 us-east-1。
- queryRunnerAccountId – 將執行查詢的帳戶 AWS 帳戶ID。
- queryRunnerMembershipId – 可查詢之成員的成員 ID。您可以在協同合作的詳細資訊索引標籤中找到成員 ID。這可確保 AWS Clean Rooms只有在此成員在此協同合作中執行分析時，才會擔任該角色。
選擇下一步。
針對檢閱和建立，輸入政策名稱和描述，然後檢閱摘要。
選擇建立政策。

您已為建立政策AWS Clean Rooms。
在 Access management (存取管理) 下，請選擇 Roles (角色)。

使用角色，您可以建立短期登入資料，為提高安全性而建議這麼做。您也可以選擇使用者來建立長期登入資料。
選擇建立角色。
在建立角色精靈中，針對信任的實體類型，選擇自訂信任政策。

將下列自訂信任政策複製並貼到 JSON 編輯器中。

選擇下一步。
選取您建立的政策名稱旁的核取方塊，然後選擇下一步。
針對名稱、檢閱和建立，輸入角色名稱和描述。

注意
角色名稱必須符合授予成員passRole許可中的模式，該成員可以查詢和接收結果和成員角色。
1. 檢閱選取信任的實體，並視需要編輯。
2. 檢閱新增許可中的許可，並視需要編輯。
3. 檢閱標籤，並視需要新增標籤。
4. 選擇建立角色。

您已為建立服務角色AWS Clean Rooms。

建立服務角色以建立設定的資料表關聯

AWS Clean Rooms使用服務角色來控制誰可以建立設定的資料表關聯。如果您有必要的 IAM 許可，您可以使用主控台建立此角色。如果您沒有CreateRole許可，請要求您的管理員建立服務角色。

此角色可讓您使用 CreateConfiguredTableAssociation 動作。

建立服務角色以允許建立設定的資料表關聯

使用您的管理員帳戶登入 IAM 主控台 (https://console.aws.amazon.com/iam/：//)。
在 Access management (存取管理) 下，請選擇 Policies (政策)。
選擇 Create policy (建立政策)。

在政策編輯器中，選取 JSON 索引標籤，然後複製並貼上下列政策。

注意

下列範例政策支援建立設定的資料表關聯。不過，您可能需要根據設定 Amazon S3 資料的方式修改此政策。此政策不包含用於解密資料的 KMS 金鑰。

您的 Amazon S3 資源必須與AWS Clean Rooms協同合作AWS 區域位於相同的中。

取代預留位置資源 ARNs

使用此政策時，您必須將預留位置資源識別符取代為您資源的實際 ARNs：

AWS KMS金鑰資源：將 KMS-key-ID 取代為加密 Amazon S3 資料的實際AWS KMS金鑰 ID。金鑰必須位於擁有AWS Glue目錄資源的相同帳戶 ((111122223333) 中。
Amazon S3 儲存貯體資源：將 bucket-name 取代為包含AWS Glue資料表資料的 Amazon S3 儲存貯體實際名稱。請注意，Amazon S3 儲存貯體 ARNs 不包含帳戶 IDs因為儲存貯體名稱是全域唯一的。
AWS Glue資源：將下列預留位置取代為您的實際資源名稱：
- Glue 資料庫名稱 - AWS Glue資料庫的名稱
- Glue 資料表名稱 - AWS Glue資料表的名稱

所有AWS Glue資源（目錄、資料庫和資料表）必須位於相同的 AWS 帳戶(111122223333)，以確保一致的存取許可。此帳戶應該與擁有用於資料加密之AWS KMS金鑰的帳戶相同，為您的AWS Clean Rooms資料資源建立統一的安全界限。

將每個預留位置取代為您自己的資訊：
- 用來加密 Amazon S3 資料的 KMS 金鑰 – 用來加密 Amazon S3 資料的 KMS 金鑰。若要解密資料，您需要提供用來加密資料的相同 KMS 金鑰。
- AWS Glue資料表的 Amazon S3 儲存貯體 – 包含包含您資料的AWS Glue資料表的 Amazon S3 儲存貯體名稱。
- region – 的名稱AWS 區域。例如 us-east-1。
- accountId – 擁有資料的帳戶 AWS 帳戶ID。
- AWS Glue資料庫名稱 – 包含您資料的AWS Glue資料庫名稱。
- AWS Glue資料表名稱 – 包含您資料的AWS Glue資料表名稱。
選擇下一步。
針對檢閱和建立，輸入政策名稱和描述，然後檢閱摘要。
選擇建立政策。

您已為建立政策AWS Clean Rooms。
在 Access management (存取管理) 下，請選擇 Roles (角色)。

使用角色，您可以建立短期登入資料，為提高安全性而建議這麼做。您也可以選擇使用者來建立長期登入資料。
選擇建立角色。
在建立角色精靈中，針對信任的實體類型，選擇自訂信任政策。

將下列自訂信任政策複製並貼到 JSON 編輯器中。

選擇下一步。
選取您建立的政策名稱旁的核取方塊，然後選擇下一步。
針對名稱、檢閱和建立，輸入角色名稱和描述。

注意
角色名稱必須符合授予成員的passRole許可中的模式，該成員可以查詢和接收結果和成員角色。
1. 檢閱選取信任的實體，並視需要編輯。
2. 檢閱新增許可中的許可，並視需要編輯。
3. 檢閱標籤，並視需要新增標籤。
4. 選擇建立角色。

您已為建立服務角色AWS Clean Rooms。

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

設定的服務角色AWS Clean Rooms

協作和成員資格