ML 수명 주기 전체에서 대규모 데이터를 사용할 수 있는 권한을 사용자에게 부여

Amazon SageMaker AI 도메인 설정으로 이동합니다.

1. 에서 Amazon SageMaker AI 콘솔을 엽니다https://console.aws.amazon.com/sagemaker/.

2. 왼쪽 탐색 창에서 도메인을 선택합니다.

3. 도메인을 선택합니다.

4. 앱 구성 탭을 선택합니다.

5. Canvas 섹션으로 스크롤하여 편집을 선택합니다.

대규모 데이터 처리 활성화:

1. 대규모 데이터 처리 구성 섹션에서 대규모 데이터 처리를 위해 EMR 서버리스 활성화를 켭니다.

2. EMR 서버리스 역할 생성 또는 선택:

   1. 새 실행 역할 생성 및 사용을 선택하여 EMR Serverless 및 연결된 AWS 관리형 정책: AmazonSageMakerCanvasEMRServerlessExecutionRolePolicy 정책과 신뢰 관계가 있는 새 IAM 역할을 생성합니다. 이 IAM 역할은 Canvas가 EMR 서버리스 작업을 생성하기 위해 수임합니다.

   2. 또는 이미 EMR Serverless에 대한 신뢰 관계가 있는 실행 역할이 있는 경우 기존 실행 역할 사용을 선택하고 드롭다운에서 역할을 선택합니다.

      • 기존 역할에는 접두사 AmazonSageMakerCanvasEMRSExecutionAccess-로 시작하는 이름이 있어야 합니다.

      • 선택한 역할에도 AWS 관리형 정책: AmazonSageMakerCanvasEMRServerlessExecutionRolePolicy 정책에 설명된 권한이 있어야 합니다.

      • 역할에는 다음과 같은 EMR Serverless 신뢰 정책이 있어야 합니다.

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "EMRServerlessTrustPolicy",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "emr-serverless.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "<your-account-id>"
                        }
                    }
                }
            ]
        }

(선택 사항) 사용자 지정 Amazon S3 버킷에 대한 Amazon S3 권한 추가:

1. Canvas 관리형 정책은 이름에 sagemaker 또는 SageMaker AI가 있는 Amazon S3 버킷에 대한 읽기 및 쓰기 권한을 자동으로 부여합니다. 또한 태그가 "SageMaker": "true"인 사용자 지정 Amazon S3 버킷의 객체에 대한 읽기 권한도 부여합니다.

2. 필수 태그가 없는 사용자 지정 Amazon S3 버킷의 경우 EMR Serverless 역할에 다음 정책을 추가합니다.

3. {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],
               "Resource": [
                   "arn:aws:s3:::*"
               ]
           }
       ]
   }

4. Canvas에서 액세스하도록 하려는 특정 Amazon S3 버킷에 대한 권한으로 범위를 축소하는 것을 권장합니다.

변경 사항을 저장하고 SageMaker Canvas 애플리케이션을 다시 시작합니다.

Canvas는 데이터 준비 및 모델 훈련을 위해 퍼블릭 Amazon ECR Docker 이미지를 활용하므로 Amazon SageMaker AI 실행 역할에 Amazon ECR DescribeImages 작업에 대한 권한을 추가합니다.

1. AWS 콘솔에 로그인하고에서 IAM 콘솔을 엽니다https://console.aws.amazon.com/iam/.

2. 역할을 선택합니다.

3. 검색 상자에서 SageMaker AI 실행 역할을 이름으로 검색하고 선택합니다.

4. SageMaker AI 실행 역할에 다음 정책을 추가합니다. 이 작업은 새 인라인 정책으로 추가하거나 기존 정책에 정책 문을 추가하여 수행할 수 있습니다. 한 IAM 역할에는 최대 10개의 정책이 연결될 수 있습니다.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "ECRDescribeImagesOperation",
           "Effect": "Allow",
           "Action": "ecr:DescribeImages",
           "Resource": [
               "arn:aws:ecr:*:*:repository/sagemaker-data-wrangler-emr-container",
               "arn:aws:ecr:*:*:repository/ap-dataprep-emr"
           ]
       }]
   }

변경 사항을 저장하고 SageMaker Canvas 애플리케이션을 다시 시작합니다.

VPC 서브넷이 프라이빗인지 확인합니다.

1. 서브넷의 라우팅 테이블에 인터넷 게이트웨이에 대한 항목 매핑 0.0.0.0/0이 없는지 확인합니다.

네트워크 인터페이스를 만들 수 있는 권한 추가:

1. 대규모 데이터 처리를 위해 SageMaker Canvas를 EMR Serverless와 함께 사용하는 경우 EMR Serverless는 Amazon을 생성EC2ENIs하여 EMR Serverless 애플리케이션과 VPC 리소스 간의 네트워크 통신을 활성화할 수 있어야 합니다.

2. Amazon SageMaker AI 실행 역할에 다음 정책을 추가합니다. 이 작업은 새 인라인 정책으로 추가하거나 기존 정책에 정책 문을 추가하여 수행할 수 있습니다. 한 IAM 역할에는 최대 10개의 정책이 연결될 수 있습니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowEC2ENICreation",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateNetworkInterface"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:CalledViaLast": "ops.emr-serverless.amazonaws.com"
                   }
               }
           }
       ]
   }

(선택 사항) ENI 생성을 특정 서브넷으로 제한합니다.

1. 내의 특정 서브넷ENIs으로 생성을 제한하여 설정을 더욱 안전하게 보호하려면 각 서브넷에 특정 조건으로 태그를 VPC지정할 수 있습니다.

2. 다음 IAM 정책을 사용하여 EMR Serverless 애플리케이션이 허용된 서브넷 및 보안 그룹 EC2 ENIs 내에서만 Amazon을 생성할 수 있도록 합니다.

   {
       "Sid": "AllowEC2ENICreationInSubnetAndSecurityGroupWithEMRTags",
       "Effect": "Allow", 
       "Action": [
           "ec2:CreateNetworkInterface"
       ],
       "Resource": [
           "arn:aws:ec2:*:*:subnet/*",
           "arn:aws:ec2:*:*:security-group/*"
       ],
       "Condition": {
           "StringEquals": {
               "aws:ResourceTag/KEY": "VALUE"
           }
       }
   }

페이지의 단계에 따라 EMR Serverless 및 SageMaker Canvas에서 사용하는 기타 AWS 서비스에 필요한 Amazon S3의 VPC 엔드포인트를 인터넷 액세스 VPC 없이에서 Amazon SageMaker Canvas 구성 설정합니다.

변경 사항을 저장하고 SageMaker Canvas 애플리케이션을 다시 시작합니다.