Amazon SageMaker 的操作、资源和条件键
Amazon SageMaker(服务前缀:sagemaker
)提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。
参考:
Amazon SageMaker 定义的操作
您可以在 Action
策略语句的 IAM 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时,通常使用相同的名称允许或拒绝对 API 操作或 CLI
命令的访问。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource
元素中指定所有资源(“*”)。如果该列包含一种资源类型,则可以在含有该操作的语句中指定该类型的 ARN。必需资源在表中以星号 (*) 表示。如果在使用该操作的语句中指定资源级权限
ARN,则它必须属于该类型。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种类型而不使用其他类型。
有关下表中各列的详细信息,请参阅 操作表。
操作 | 描述 | 访问级别 | 资源类型(* 为必需) | 条件键 | 相关操作 |
---|---|---|---|---|---|
AddTags | 添加或覆盖指定 Amazon SageMaker 资源的一个或多个标签。 | 标记 | |||
AssociateTrialComponent | 将试用组件与试用关联。 | 写入 | |||
BatchGetMetrics [仅权限] | 检索与 SageMaker 资源(如训练作业)关联的指标。虽然此 API 目前未公开发布,但管理员可以控制该操作 | Read | |||
BatchPutMetrics [仅权限] | 发布与 SageMaker 资源(如训练作业)关联的指标。虽然此 API 目前未公开发布,但管理员可以控制该操作 | 写入 | |||
CreateAlgorithm | 创建算法。 | 写入 | |||
CreateApp | 授予权限以便为 SageMaker Studio UserProfile 创建应用程序 | 写入 | |||
CreateAutoMLJob | 创建 automl 作业。 | 写入 |
iam:PassRole |
||
CreateCodeRepository | 创建代码存储库。 | 写入 | |||
CreateCompilationJob | 创建编译作业。 | 写入 |
iam:PassRole |
||
CreateDomain | 授予权限以便为 SageMaker Studio 创建域 | 写入 |
iam:CreateServiceLinkedRole iam:PassRole |
||
sagemaker:AppNetworkAccessType |
|||||
CreateEndpoint | 使用在请求中指定的终端节点配置创建终端节点。 | 写入 | |||
CreateEndpointConfig | 创建可以使用 Amazon SageMaker 托管服务部署的终端节点配置。 | 写入 | |||
CreateExperiment | 创建实验。 | 写入 | |||
CreateFlowDefinition | 创建用于定义人工工作流程设置的流定义。 | 写入 |
iam:PassRole |
||
CreateHumanTaskUi | 定义将用于人工审查工作流程用户界面的设置。 | 写入 | |||
CreateHyperParameterTuningJob | 创建可以使用 Amazon SageMaker 部署的超参数优化作业。 | 写入 |
iam:PassRole |
||
sagemaker:FileSystemAccessMode sagemaker:FileSystemDirectoryPath |
|||||
CreateLabelingJob | 启动标记作业。标记作业提取未标记的数据并生成标记的数据以作为输出,可用于训练 SageMaker 模型。 | 写入 |
iam:PassRole |
||
CreateModel | 在 Amazon SageMaker 中创建模型。在请求中,您可以指定模型的名称并描述一个或多个容器。 | 写入 |
iam:PassRole |
||
CreateModelPackage | 创建模型包 | 写入 | |||
CreateMonitoringSchedule | 创建监控计划。 | 写入 |
iam:PassRole |
||
CreateNotebookInstance | 创建 Amazon SageMaker 笔记本实例。笔记本实例是在 Jupyter Notebook 上运行的 Amazon EC2 实例。 | 写入 |
iam:PassRole |
||
CreateNotebookInstanceLifecycleConfig | 创建可以使用 Amazon SageMaker 部署的笔记本实例生命周期配置。 | 写入 | |||
CreatePresignedDomainUrl | 授予权限以返回一个 URL,当 AuthMode 为“IAM”时,可以从浏览器中使用此 URL 连接到作为指定 UserProfile 的域。 | 写入 | |||
CreatePresignedNotebookInstanceUrl | 返回一个您可用来从您的浏览器连接到笔记本实例的 URL。 | 写入 | |||
CreateProcessingJob | 启动处理作业。处理完成后,Amazon SageMaker 将生成的构件和其他可选输出保存到您指定的 Amazon S3 位置。 | 写入 |
iam:PassRole |
||
CreateTrainingJob | 启动模型训练作业。训练完成后,Amazon SageMaker 将生成的模型构件和其他可选输出保存到您指定的 Amazon S3 位置。 | 写入 |
iam:PassRole |
||
sagemaker:FileSystemAccessMode sagemaker:FileSystemDirectoryPath |
|||||
CreateTransformJob | 启动转换作业。在获取结果后,Amazon SageMaker 将其保存到您指定的 Amazon S3 位置中。 | 写入 | |||
CreateTrial | 创建试用。 | 写入 | |||
CreateTrialComponent | 创建试用组件。 | 写入 | |||
CreateUserProfile | 授予权限以便为 SageMaker Studio 域创建 UserProfile | 写入 |
iam:PassRole |
||
CreateWorkforce | 创建人力。 | 写入 | |||
CreateWorkteam | 创建工作团队。 | 写入 | |||
DeleteAlgorithm | 删除算法。 | 写入 | |||
DeleteApp | 授予权限以删除应用程序 | 写入 | |||
DeleteCodeRepository | 删除代码存储库。 | 写入 | |||
DeleteDomain | 授予权限以删除域 | 写入 | |||
DeleteEndpoint | 删除终端节点。Amazon SageMaker 释放在创建终端节点时部署的所有资源。 | 写入 | |||
DeleteEndpointConfig | 删除使用 CreateEndpointConfig API 创建的终端节点配置。DeleteEndpointConfig API 只删除指定的配置。它不删除使用此配置创建的任何终端节点。 | 写入 | |||
DeleteExperiment | 删除实验。 | 写入 | |||
DeleteFlowDefinition | 删除指定的流定义。 | 写入 | |||
DeleteHumanLoop | 删除指定的人工循环。 | 写入 | |||
DeleteModel | 删除使用 CreateModel API 创建的模型。DeleteModel API 仅删除 Amazon SageMaker 中您通过调用 CreateModel API 创建的模型条目。它不会删除模型构件、推理代码或在创建模型时指定的 IAM 角色。 | 写入 | |||
DeleteModelPackage | 删除模型包。 | 写入 | |||
DeleteMonitoringSchedule | 删除监控计划。Amazon SageMaker 将不再运行计划的监控。 | 写入 | |||
DeleteNotebookInstance | 删除 Amazon SageMaker 笔记本实例。在可以删除笔记本实例之前,您必须调用 StopNotebookInstance API。 | 写入 | |||
DeleteNotebookInstanceLifecycleConfig | 删除可以使用 Amazon SageMaker 部署的笔记本实例生命周期配置。 | 写入 | |||
DeleteTags | 从 Amazon SageMaker 资源中删除指定的一组标签。 | 标记 | |||
DeleteTrial | 删除试用。 | 写入 | |||
DeleteTrialComponent | 删除试用组件。 | 写入 | |||
DeleteUserProfile | 授予权限以删除 UserProfile | 写入 | |||
DeleteWorkforce | 删除人力。 | 写入 | |||
DeleteWorkteam | 删除工作团队。 | 写入 | |||
DescribeAlgorithm | 返回有关算法的信息。 | Read | |||
DescribeApp | 授予权限以描述应用程序 | Read | |||
DescribeAutoMLJob | 描述通过 CreateAutoMLJob API 创建的 automl 作业。 | Read | |||
DescribeCodeRepository | 返回有关代码存储库的信息。 | Read | |||
DescribeCompilationJob | 返回有关编译作业的信息。 | Read | |||
DescribeDomain | 授予权限以描述域 | Read | |||
DescribeEndpoint | 返回终端节点的描述。 | Read | |||
DescribeEndpointConfig | 返回使用 CreateEndpointConfig API 创建的终端节点配置的描述。 | Read | |||
DescribeExperiment | 返回有关实验的信息。 | Read | |||
DescribeFlowDefinition | 返回有关指定的流定义的详细信息。 | Read | |||
DescribeHumanLoop | 返回有关指定的人工循环的详细信息。 | Read | |||
DescribeHumanTaskUi | 返回有关指定的人工审查工作流程用户界面的详细信息。 | Read | |||
DescribeHyperParameterTuningJob | 描述通过 CreateHyperParameterTuningJob API 创建的超参数优化作业。 | Read | |||
DescribeLabelingJob | 返回有关标记作业的信息。 | Read | |||
DescribeModel | 描述您使用 CreateModel API 创建的模型。 | Read | |||
DescribeModelPackage | 返回有关模型包的信息。 | Read | |||
DescribeMonitoringSchedule | 返回有关监控计划的信息。 | Read | |||
DescribeNotebookInstance | 返回有关笔记本实例的信息。 | Read | |||
DescribeNotebookInstanceLifecycleConfig | 描述通过 CreateNotebookInstanceLifecycleConfig API 创建的笔记本实例生命周期配置。 | Read | |||
DescribeProcessingJob | 返回有关处理作业的信息。 | Read | |||
DescribeSubscribedWorkteam | 返回有关订阅的工作团队的信息。 | Read | |||
DescribeTrainingJob | 返回有关训练任务的信息。 | Read | |||
DescribeTransformJob | 返回有关转换作业的信息。 | Read | |||
DescribeTrial | 返回有关试用的信息。 | Read | |||
DescribeTrialComponent | 返回有关试用组件的信息。 | Read | |||
DescribeUserProfile | 授予权限以描述 UserProfile | Read | |||
DescribeWorkforce | 返回有关人力的信息。 | Read | |||
DescribeWorkteam | 返回有关工作团队的信息。 | Read | |||
DisassociateTrialComponent | 取消试用组件与试用的关联。 | 写入 | |||
GetSearchSuggestions | 在随关键字提供时,获取搜索建议。 | Read | |||
InvokeEndpoint | 在使用 Amazon SageMaker 托管服务将模型部署到生产阶段后,您的客户端应用程序使用此 API 从托管在指定终端节点的模型中获得推理。 | Read | |||
ListAlgorithms | 列出算法。 | List | |||
ListApps | 授予权限以列出您账户中的应用程序 | List | |||
ListAutoMLJobs | 列出通过 CreateAutoMLJob 创建的 automl 作业。 | List | |||
ListCandidatesForAutoMLJob | 列出通过 CreateAutoMLJob 创建的 automl 作业的候选。 | List | |||
ListCodeRepositories | 列出代码存储库。 | List | |||
ListCompilationJobs | 列出编译作业。 | List | |||
ListDomains | 授予权限以列出您账户中的域名 | List | |||
ListEndpointConfigs | 列出终端节点配置。 | List | |||
ListEndpoints | 列出终端节点。 | List | |||
ListExperiments | 列出实验。 | List | |||
ListFlowDefinitions | 返回有关流定义的摘要信息(在给定指定参数的情况下)。 | List | |||
ListHumanLoops | 返回有关人工循环的摘要信息(在给定指定参数的情况下)。 | List | |||
ListHumanTaskUis | 返回有关人工审查工作流程用户界面的摘要信息(在给定指定参数的情况下)。 | List | |||
ListHyperParameterTuningJobs | 列出使用 Amazon SageMaker 创建的超参数优化作业。 | List | |||
ListLabelingJobs | 列出标记作业。 | List | |||
ListLabelingJobsForWorkteam | 列出工作团队的标记作业。 | List | |||
ListModelPackages | 列出模型包。 | List | |||
ListModels | 列出使用 CreateModel API 创建的模型。 | List | |||
ListMonitoringExecutions | 列出监控执行情况。 | List | |||
ListMonitoringSchedules | 列出监控计划。 | List | |||
ListNotebookInstanceLifecycleConfigs | 列出可以使用 Amazon SageMaker 部署的笔记本实例生命周期配置。 | List | |||
ListNotebookInstances | 返回 AWS 区域中请求者账户中的 Amazon SageMaker 笔记本实例的列表。 | List | |||
ListProcessingJobs | 列出处理作业。 | List | |||
ListSubscribedWorkteams | 列出订阅的工作团队。 | List | |||
ListTags | 返回与指定资源关联的标签集。 | List | |||
ListTrainingJobs | 列出训练作业。 | List | |||
ListTrainingJobsForHyperParameterTuningJob | 列出使用 Amazon SageMaker 创建的超参数优化作业的训练作业。 | List | |||
ListTransformJobs | 列出转换作业。 | List | |||
ListTrialComponents | 列出试用组件。 | List | |||
ListTrials | 列出试用。 | List | |||
ListUserProfiles | 授予权限以列出您账户中的 UserProfile | List | |||
ListWorkforces | 列出人力。 | List | |||
ListWorkteams | 列出工作团队。 | List | |||
RenderUiTemplate | 提供用于人工注释任务的 UI 模板。 | Read |
iam:PassRole |
||
Search | 搜索 SageMaker 对象。 | Read | |||
StartHumanLoop | 启动人工循环。 | 写入 | |||
StartMonitoringSchedule | 启动监控计划。 | 写入 | |||
StartNotebookInstance | 使用最新版本的库启动 EC2 实例并附加您的 EBS 卷。 | 写入 | |||
StopAutoMLJob | 停止通过 CreateAutoMLJob 创建的正在运行的 automl 作业。 | 写入 | |||
StopCompilationJob | 停止编译作业。 | 写入 | |||
StopHumanLoop | 停止指定的人工循环。 | 写入 | |||
StopHyperParameterTuningJob | 停止通过 CreateHyperParameterTuningJob 创建的正在运行的超参数优化作业。 | 写入 | |||
StopLabelingJob | 停止标记作业。将在停止之前导出已生成的任何标签。 | 写入 | |||
StopMonitoringSchedule | 停止监控计划。 | 写入 | |||
StopNotebookInstance | 终止 EC2 实例。在终止实例前,Amazon SageMaker 从此实例断开 EBS 卷。Amazon SageMaker 将保留 EBS 卷。 | 写入 | |||
StopProcessingJob | 停止处理作业。要停止任务,Amazon SageMaker 向算法发送 SIGTERM 信号,这会将作业终止延迟 120 秒。 | 写入 | |||
StopTrainingJob | 停止训练任务。要停止任务,Amazon SageMaker 向算法发送 SIGTERM 信号,这会将作业终止延迟 120 秒。 | 写入 | |||
StopTransformJob | 停止转换作业。在 Amazon SageMaker 收到 StopTransformJob 请求时,作业状态将变为 Stopping。在 Amazon SageMaker 停止作业后,状态将设置为 Stopped | 写入 | |||
UpdateCodeRepository | 更新代码存储库。 | 写入 | |||
UpdateDomain | 授予权限以更新域 | 写入 | |||
UpdateEndpoint | 更新终端节点以使用在请求中指定的终端节点配置。 | 写入 | |||
UpdateEndpointWeightsAndCapacities | 更新变体权重、容量或与终端节点关联的这一个或多个变体。 | 写入 | |||
UpdateExperiment | 更新实验。 | 写入 | |||
UpdateMonitoringSchedule | 更新监控计划。 | 写入 |
iam:PassRole |
||
UpdateNotebookInstance | 更新笔记本实例。笔记本实例更新包括升级或降级用于笔记本实例的 EC2 实例以纳入工作负载要求的变化。您也可以更新 VPC 安全组。 | 写入 | |||
UpdateNotebookInstanceLifecycleConfig | 更新使用 CreateNotebookInstanceLifecycleConfig API 创建的笔记本实例生命周期配置。 | 写入 | |||
UpdateTrial | 更新试用。 | 写入 | |||
UpdateTrialComponent | 更新试用组件。 | 写入 | |||
UpdateUserProfile | 授予权限以更新 UserProfile | 写入 | |||
UpdateWorkforce | 更新人力。 | 写入 | |||
UpdateWorkteam | 更新工作团队。 | 写入 |
Amazon SageMaker 定义的资源类型
以下资源类型是由该服务定义的,可以在 IAM 权限策略语句的 Resource
元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在表的最后一列。有关下表中各列的详细信息,请参阅 资源类型表。
Amazon SageMaker 的条件键
Amazon SageMaker 定义以下可以在 IAM 策略的 Condition
元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息,请参阅 条件键表。
要查看适用于所有服务的全局条件键,请参阅可用的全局条件键。
条件键 | 描述 | 类型 |
---|---|---|
aws:RequestTag/${TagKey} | 用户向 SageMaker 服务发出的请求中包含的键。 | 字符串 |
aws:ResourceTag/${TagKey} | 标签键值对。 | 字符串 |
aws:TagKeys | 与请求中的资源关联的所有标签键名称的列表。 | 字符串 |
sagemaker:AcceleratorTypes | 所有与请求中的资源关联的加速器类型的列表。 | 字符串数组 |
sagemaker:AppNetworkAccessType | 与请求中的资源关联的应用程序网络访问权限类型。 | 字符串 |
sagemaker:DirectInternetAccess | 与请求中的资源关联的直接 Internet 访问。 | 字符串 |
sagemaker:DomainSharingOutputKmsKey | 与请求中的资源关联的域共享输出 KMS 密钥。 | ARN |
sagemaker:FileSystemAccessMode | 与请求中的资源关联的文件系统访问模式。 | 字符串 |
sagemaker:FileSystemDirectoryPath | 与请求中的资源关联的文件系统目录路径。 | 字符串 |
sagemaker:FileSystemId | 与请求中的资源关联的文件系统 ID。 | 字符串 |
sagemaker:FileSystemType | 与请求中的资源关联的文件系统类型。 | 字符串 |
sagemaker:HomeEfsFileSystemKmsKey | 用于 UserProfile 主目录的 EFS 文件系统的 KMS 密钥 ID(与请求中的资源关联) | ARN |
sagemaker:InstanceTypes | 与请求中的资源关联的所有实例类型的列表。 | 字符串数组 |
sagemaker:InterContainerTrafficEncryption | 与请求中的资源关联的容器间流量加密。 | Bool |
sagemaker:MaxRuntimeInSeconds | 与请求中的资源关联的最大运行时间(以秒为单位)。 | 数值 |
sagemaker:ModelArn | 与请求中的资源关联的模型 arn。 | ARN |
sagemaker:NetworkIsolation | 与请求中的资源关联的网络隔离。 | Bool |
sagemaker:OutputKmsKey | 与请求中的资源关联的输出 kms 密钥。 | ARN |
sagemaker:ResourceTag/ | 附加到资源的标签键值对的前言字符串。 | 字符串 |
sagemaker:ResourceTag/${TagKey} | 标签键值对。 | 字符串 |
sagemaker:RootAccess | 与请求中的资源关联的根访问权限。 | 字符串 |
sagemaker:TargetModel | 与请求中的多模型终端节点关联的目标模型。 | 字符串 |
sagemaker:VolumeKmsKey | 与请求中的资源关联的卷 kms 密钥。 | ARN |
sagemaker:VpcSecurityGroupIds | 与请求中的资源关联的所有 vpc 安全组 ID 的列表。 | 字符串数组 |
sagemaker:VpcSubnets | 与请求中的资源关联的所有 vpc 子网的列表。 | 字符串数组 |
sagemaker:WorkteamArn | 与请求关联的工作组 ARN。 | ARN |
sagemaker:WorkteamType | 与请求关联的工作组类型。这可以是 public-crowd、private-crowd 或 vendor-crowd。 | 字符串 |