Роли IAM для Sagemaker? - PullRequest
Новая
       31

Роли IAM для Sagemaker?

1 голос
/ 25 апреля 2019

Я пытаюсь заставить AWS SageMaker вызвать AWS Comprehend. Я получаю это сообщение в SageMaker:

ClientError: Произошла ошибка (AccessDeniedException) при вызове операция StartTopicsDetectionJob: Пользователь: ARN: AWS: Служащие :: 545176143103: предполагается, роль / доступ-AWS-услуги, из-sagemaker / SageMaker не разрешено выполнять: iam: PassRole на ресурсе: ARN: AWS: РМКО :: 545176143103: роль / Аксесс-AWS-услуги-от-sagemaker

При создании блокнота Jupyter я использовал эту роль:

ARN: AWS: sagemaker: мы-восток-2: 545176143103: ноутбук-экземпляр / доступа постигать-из-sagemaker

... со следующими политиками:

enter image description here

Я использую ту же роль IAM в SageMaker: 

 data_access_role_arn = "arn:aws:iam::545176143103:role/access-aws-services-from-sagemaker"

Похоже, я предоставляю роли весь доступ, который ей необходим. Как я могу исправить эту ошибку?

1 Ответ

2 голосов
/ 25 апреля 2019

Судя по вашей ошибке, похоже, что есть проблема с разрешениями для ноутбука SageMaker, пытающегося изменить параметры IAM из записной книжки, у которой явно нет разрешения на это.

У вас есть несколько вариантов, чтобы исправить это:

Вариант 1. Предоставление разрешения SageMaker на блокнот для определения роли IAM в блокноте во время выполнения.

В консоли нажмите Hosted Notebooks вдоль левой навигационной панели, затем в разделе Permissions щелкните прикрепленную роль IAM. Здесь вы можете добавить политики, такие как IAMFullAccess или IAMReadOnlyAccess. Это должно устранить ошибку разрешений при попытке присоединить роль IAM из записной книжки.

Вариант 2. Явно определите права доступа, которые вы хотите, чтобы SageMaker имел в консоли.

В консоли нажмите Hosted Notebooks вдоль левой навигационной панели, затем в разделе Permissions щелкните прикрепленную роль IAM. Здесь вы можете напрямую добавить политики для прав доступа к ресурсам (например, Comprehend). Без привязки явных политик доступа IAM к этой роли вы не сможете изменить разрешения во время выполнения.

Вариант 3: оба

Если вы хотите предварительно определить доступ к некоторым ресурсам, но также потенциально можете добавить другие разрешения на ресурсы во время эксперимента, вы можете выполнить оба шага 1 и 2 (добавить IAM + другие разрешения на ресурсы для размещенного в консоли ноутбука с помощью возможность изменения встроенной роли SageMaker IAM во время экспериментов).

...