域资源隔离 - Amazon SageMaker
控制台Amazon CLI
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

域资源隔离

重要

允许 Amazon SageMaker Studio 或 Amazon SageMaker Studio Classic 创建亚马逊 SageMaker资源的自定义 IAM 策略还必须授予向这些资源添加标签的权限。需要向资源添加标签的权限，因为 Studio 和 Studio Classic 会自动标记他们创建的任何资源。如果 IAM 策略允许 Studio 和 Studio Classic 创建资源但不允许标记，则在尝试创建资源时可能会出现 AccessDenied “” 错误。有关更多信息，请参阅 提供为资源添加标签 SageMaker的权限。

Amazon 适用于亚马逊的托管政策 SageMaker授予创建 SageMaker 资源的权限已经包括在创建这些资源时添加标签的权限。

您可以使用 Amazon Identity and Access Management 策略在账户中的每个域名和区域之间隔离资源。通过资源隔离，无法从其他域访问在一个域中创建的模型、实验、训练作业和管道等 SageMaker 资源。以下主题说明如何创建新的 IAM 策略，该策略将域中资源的访问权限限制为带有域标签的用户个人资料，以及如何将此策略附加到该域的 IAM 执行角色。您必须对账户中的每个域名重复此过程。有关域名标签和回填这些标签的更多信息，请参阅多个域名概述。

控制台

以下部分介绍如何创建新的 IAM 策略，该策略将域中资源的访问权限限制为带有域标签的用户个人资料，以及如何从 Amazon SageMaker 控制台将此策略附加到该域的 IAM 执行角色。

注意

此政策仅适用于使用 Amazon SageMaker Studio Classic 作为默认体验的域名。

  1. 通过完成创建 IAM 策略（控制台）中的步骤来创建名为 StudioDomainResourceIsolationPolicy-domain-id 的 IAM 策略，该策略包含以下 JSON 策略文档。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAPIs",
            "Effect": "Allow",
            "Action": "sagemaker:Create*",
            "NotResource": [
                "arn:aws:sagemaker:*:*:domain/*",
                "arn:aws:sagemaker:*:*:user-profile/*",
                "arn:aws:sagemaker:*:*:space/*"
            ]
        },
        {
            "Sid": "ResourceAccessRequireDomainTag",
            "Effect": "Allow",
            "Action": [
                "sagemaker:Update*",
                "sagemaker:Delete*",
                "sagemaker:Describe*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/sagemaker:domain-arn": "domain-arn"
                }
            }
        },
        {
            "Sid": "AllowActionsThatDontSupportTagging",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeImageVersion",
                "sagemaker:UpdateImageVersion",
                "sagemaker:DeleteImageVersion",
                "sagemaker:DescribeModelCardExportJob",
                "sagemaker:DescribeAction"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DeleteDefaultApp",
            "Effect": "Allow",
            "Action": "sagemaker:DeleteApp",
            "Resource": "arn:aws:sagemaker:*:*:app/domain-id/*/jupyterserver/default"
        }
    ]
}

  2. 完成修改角色（控制台）中的步骤，将StudioDomainResourceIsolationPolicy-domain-id策略附加到域的执行角色。

Amazon CLI

以下部分介绍如何创建新的 IAM 策略，该策略将域中资源的访问权限限制为带有域标签的用户配置文件，以及如何将此策略附加到该域的执行角色 Amazon CLI。

注意

此政策仅适用于使用 Amazon SageMaker Studio Classic 作为默认体验的域名。

  1. 在本地计算机上创建一个名为 StudioDomainResourceIsolationPolicy-domain-id 的文件，该文件包含以下内容。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAPIs",
            "Effect": "Allow",
            "Action": "sagemaker:Create*",
            "NotResource": [
                "arn:aws:sagemaker:*:*:domain/*",
                "arn:aws:sagemaker:*:*:user-profile/*",
                "arn:aws:sagemaker:*:*:space/*"
            ]
        },
        {
            "Sid": "ResourceAccessRequireDomainTag",
            "Effect": "Allow",
            "Action": [
                "sagemaker:Update*",
                "sagemaker:Delete*",
                "sagemaker:Describe*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/sagemaker:domain-arn": "domain-arn"
                }
            }
        },
        {
            "Sid": "AllowActionsThatDontSupportTagging",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeImageVersion",
                "sagemaker:UpdateImageVersion",
                "sagemaker:DeleteImageVersion",
                "sagemaker:DescribeModelCardExportJob",
                "sagemaker:DescribeAction"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DeleteDefaultApp",
            "Effect": "Allow",
            "Action": "sagemaker:DeleteApp",
            "Resource": "arn:aws:sagemaker:*:*:app/domain-id/*/jupyterserver/default"
        }
    ]
}

  2. 使用 StudioDomainResourceIsolationPolicy-domain-id 文件创建新的 IAM 策略。

    aws iam create-policy --policy-name StudioDomainResourceIsolationPolicy-domain-id --policy-document file://StudioDomainResourceIsolationPolicy-domain-id

  3. 将新创建的策略附加到用作域执行角色的新角色或现有角色。

    aws iam attach-role-policy --policy-arn arn:aws:iam:account-id:policy/StudioDomainResourceIsolationPolicy-domain-id --role-name domain-execution-role