將 UI 從 Studio Classic 遷移至 Studio

1. 取得現有網域的網域 ID。

   1. 開啟 Amazon SageMaker AI 主控台，網址為 https://console.aws.amazon.com/sagemaker/。

   2. 從左側導覽窗格中，展開管理員組態，然後選擇網域。

   3. 選擇現有的網域。

   4. 在網域詳細資訊頁面上，選擇網域設定標籤。

   5. 複製網域 ID。

2. 新增現有網域的網域 ID。

   export REF_DOMAIN_ID="domain-id"
   export SM_REGION="region"

3. 使用 describe-domain 取得現有網域的重要資訊。

   export REF_EXECROLE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.ExecutionRole')
   export REF_VPC=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.VpcId')
   export REF_SIDS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.SubnetIds | join(",")')
   export REF_SGS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.SecurityGroups | join(",")')
   export AUTHMODE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.AuthMode')

4. 驗證參數。

   echo "Execution Role: $REF_EXECROLE || VPCID: $REF_VPC || SubnetIDs: $REF_SIDS || Security GroupIDs: $REF_SGS || AuthMode: $AUTHMODE"

5. 使用來自現有網域的組態建立測試網域。

   IFS=',' read -r -a subnet_ids <<< "$REF_SIDS"
   IFS=',' read -r -a security_groups <<< "$REF_SGS"
   security_groups_json=$(printf '%s\n' "${security_groups[@]}" | jq -R . | jq -s .)
   
   aws sagemaker create-domain \
   --domain-name "TestV2Config" \
   --vpc-id $REF_VPC \
   --auth-mode $AUTHMODE \
   --subnet-ids "${subnet_ids[@]}" \
   --app-network-access-type VpcOnly \
   --default-user-settings "
   {
       \"ExecutionRole\": \"$REF_EXECROLE\",
       \"StudioWebPortal\": \"ENABLED\",
       \"DefaultLandingUri\": \"studio::\",
       \"SecurityGroups\": $security_groups_json
   }
   "

6. 在測試網域為 In Service 之後，請使用測試網域的 ID 來建立使用者設定檔。此使用者設定檔用來啟動和測試應用程式。

   aws sagemaker create-user-profile \
   --region="$SM_REGION" --domain-id=test-domain-id \
   --user-profile-name test-network-user

1. 新增測試網域的 ID。

   export TEST_DOMAIN="test-domain-id"
   export SM_REGION="region"

2. 列出網域中處於執行中狀態的所有應用程式。

   active_apps_json=$(aws sagemaker list-apps --region=$SM_REGION --domain-id=$TEST_DOMAIN)
   echo $active_apps_json

3. 剖析執行中應用程式的 JSON 清單並將其刪除。如果使用者嘗試建立他們沒有許可的應用程式，則以下指令碼中可能會有未擷取的空間。您必須手動刪除這些空間。

   echo "$active_apps_json" | jq -c '.Apps[]' | while read -r app;
   do
       if echo "$app" | jq -e '. | has("SpaceName")' > /dev/null;
       then
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           space_name=$(echo "$app" | jq -r '.SpaceName')
   
           echo "Deleting App - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --space-name $space_name
   
           echo "Deleting Space - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-space --region=$SM_REGION --domain-id=$domain_id \
           --space-name $space_name
       else
   
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           user_profile_name=$(echo "$app" | jq -r '.UserProfileName')
   
           echo "Deleting Studio Classic - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || UserProfileName: $user_profile_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --user-profile-name $user_profile_name
   
       fi
   
   done

4. 刪除測試使用者設定檔。

   aws sagemaker delete-user-profile \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN \
   --user-profile-name "test-network-user"

5. 刪除測試網域。

   aws sagemaker delete-domain \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN

1. 開啟 Amazon SageMaker AI 主控台，網址為 https://console.aws.amazon.com/sagemaker/。

2. 從左側導覽窗格中展開管理員組態，然後選擇網域。

3. 選擇您要啟用 Studio 作為其預設體驗的現有網域。

4. 在網域詳細資訊頁面上展開啟用新的 Studio。

5. (選用) 若要檢視啟用 Studio 作為預設體驗所涉及步驟的詳細資訊，請選擇檢視詳細資訊。此頁面會顯示下列項目：

   • 在 SageMaker Studio 概觀區段中，您可以檢視 Studio Web 型介面中包含或可用的應用程式。

   • 在啟用程序區段中，您可以檢視要啟用 Studio 之工作流程任務的描述。

     注意

     您將需要手動遷移資料。如需遷移資料的指示，請參閱 (選用) 將資料從 Studio Classic 遷移至 Studio。

   • 在還原至 Studio Classic 體驗區段中，您可以檢視如何在啟用 Studio 作為預設體驗之後還原回 Studio Classic。

6. 若要開始啟用 Studio 作為預設體驗的程序，請選擇啟用新的 Studio。

7. 在指定和設定角色區段中，您可以檢視自動包含在 Studio 中的預設應用程式。

   若要防止使用者執行這些應用程式，請選擇其 IAM 政策拒絕存取的 AWS Identity and Access Management (IAM) 角色。如需如何建立政策以限制存取的相關資訊，請參閱 步驟 1：更新應用程式建立許可。

8. 在選擇預設 S3 儲存貯體以連接 CORS 政策區段中，您可以授權 Studio 存取 Amazon S3 儲存貯體。在此情況下，預設 Amazon S3 儲存貯體是 Studio Classic 的預設 Amazon S3 儲存貯體。在此步驟中，您可以執行以下動作：

   • 驗證 CORS 政策要連接至其中的網域預設 Amazon S3 儲存貯體。如果您的網域沒有預設 Amazon S3 儲存貯體，SageMaker AI 會建立一個連接正確 CORS 政策的 Amazon S3 儲存貯體。

   • 您可以包含 10 個額外的 Amazon S3 儲存貯體，以連接 CORS 政策。

     如果您想要包含超過 10 個儲存貯體，您可以手動新增它們。如需手動將 CORS 政策連接至 Amazon S3 儲存貯體的詳細資訊，請參閱 (選用) 更新您的 CORS 政策以存取 Amazon S3 儲存貯體。

   若要繼續，請選取您是否同意覆寫所選 Amazon S3 儲存貯體上的任何現有 CORS 政策？旁邊的核取方塊。

9. 遷移資料區段包含 Studio Classic 和 Studio 不同資料儲存磁碟區的相關資訊。您的資料不會透過此程序自動遷移。如需遷移資料、生命週期組態和 JupyterLab 延伸模組的指示，請參閱 (選用) 將資料從 Studio Classic 遷移至 Studio。

10. 一旦完成了頁面上的任務並驗證了組態，請選擇啟用新的 Studio。

將 CORS 組態新增至 Amazon S3 儲存貯體

1. 確認 Amazon S3 儲存貯體與具有下列名稱AWS 區域的現有網域位於相同的 中。如需指示，請參閱檢視 Amazon S3 儲存貯體的屬性。

   sagemaker-region-account-id

2. 將具有下列內容的 CORS 組態新增至預設 Amazon S3 儲存貯體。如需指示，請參閱設定跨來源資源共用 (CORS)。

   [
       {
           "AllowedHeaders": [
               "*"
           ],
           "AllowedMethods": [
               "POST",
               "PUT",
               "GET",
               "HEAD",
               "DELETE"
           ],
           "AllowedOrigins": [
               "https://*.sagemaker.aws"
           ],
           "ExposeHeaders": [
               "ETag",
               "x-amz-delete-marker",
               "x-amz-id-2",
               "x-amz-request-id",
               "x-amz-server-side-encryption",
               "x-amz-version-id"
           ]
       }
   ]

授與 Canvas 內 Data Wrangler 功能的許可

1. 將 AWS受管政策 AmazonSageMakerFullAccess 連接至使用者的 IAM 角色。如需說明如何將 IAM 政策附加至角色的程序，請參閱《AWS IAM 使用者指南》中的新增 IAM 身分許可 (主控台)。

   如果此許可政策對您的使用案例而言過於寬鬆，您可以建立至少包含下列許可的縮小範圍政策：

   {
       "Sid": "AllowStudioActions",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreatePresignedDomainUrl",
           "sagemaker:DescribeDomain",
           "sagemaker:ListDomains",
           "sagemaker:DescribeUserProfile",
           "sagemaker:ListUserProfiles",
           "sagemaker:DescribeSpace",
           "sagemaker:ListSpaces",
           "sagemaker:DescribeApp",
           "sagemaker:ListApps"
       ],
       "Resource": "*"
   },
   {
       "Sid": "AllowAppActionsForUserProfile",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreateApp",
           "sagemaker:DeleteApp"
       ],
       "Resource": "arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/canvas/*",
       "Condition": {
           "Null": {
               "sagemaker:OwnerUserProfileArn": "true"
           }
       }
   }

2. 將 AWS受管政策 AmazonSageMakerCanvasDataPrepFullAccess 連接至使用者的 IAM 角色。

將 IAM 政策連接至執行角色

1. 尋找連接至 SageMaker AI 使用者設定檔的執行角色

   1. 在 SageMaker AI 主控台 https://console.aws.amazon.com/sagemaker/ 中，導覽至網域，然後選擇您的 SageMaker AI 網域。

   2. 執行角色 ARN 會列示在使用者設定檔的使用者詳細資訊頁面上的執行角色下。請記下 ARN 中的執行角色名稱。

   3. 在 IAM 主控台 https://console.aws.amazon.com/iam/ 中，選擇角色。

   4. 在搜尋欄位中依名稱搜尋您的角色。

   5. 設定角色。

2. 將政策新增至該角色

   1. 在 IAM 主控台 https://console.aws.amazon.com/iam/ 中，選擇角色。

   2. 在搜尋欄位中依名稱搜尋您的角色。

   3. 設定角色。

   4. 在許可索引標籤中，導覽至下拉式功能表新增許可。

   5. • 針對受管政策：選取連接政策，搜尋您要連接的管理政策名稱。

        選取政策，然後選擇新增許可。

      • 對於內嵌政策：選取建立內嵌政策、在 JSON 索引標籤中貼上您的政策、選擇下一步、為您的政策命名，然後選擇建立。