Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

跨账户离线存储访问

Amazon F SageMaker eature Store 允许用户在一个账户（账户 A）中创建功能组，并使用另一个账户（账户 B）中的 Amazon S3 存储桶使用离线商店对其进行配置。您可以使用下一节中的步骤进行此项设置。

步骤 1：在账户 A 中设置离线存储访问角色

首先，为 Amazon Feature SageMaker Store 设置一个角色来将数据写入离线商店。实现此目的的最简单方法是使用 AmazonSageMakerFeatureStoreAccess 策略创建新角色，或使用已附加 AmazonSageMakerFeatureStoreAccess 策略的现有角色。本文档将该策略称为 Account-A-Offline-Feature-Store-Role-ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetBucketAcl",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::*SageMaker*",
                "arn:aws:s3:::*Sagemaker*",
                "arn:aws:s3:::*sagemaker*"
            ]
        }
    ]
}   

前面的代码片段显示了 AmazonSageMakerFeatureStoreAccess 策略。默认情况下，该策略 Resource 部分的范围缩小到名称包含 SageMaker、Sagemaker 或 sagemaker 的 S3 存储桶。这意味着所使用的离线存储 Amazon S3 存储桶必须遵循此命名约定。如果不是这种情况，或者您想进一步缩小资源范围，则可以在控制台中将该策略复制并粘贴到您的 Amazon S3 存储桶策略中，将 Resource 部分自定义为 arn:aws:s3:::your-offline-store-bucket-name，然后附加到角色。

此外，此角色必须附加 Amazon KMS 权限。至少需要获得 kms:GenerateDataKey 权限，才能使用客户托管密钥写入离线存储。请参阅步骤 3，了解为什么跨账户场景需要客户托管密钥以及如何进行设置。以下示例显示了一个内联策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:*:Account-A-Account-Id:key/*"
        }
    ]
}

此策略的 Resource 部分适用于账户 A 中的任何密钥。要进一步缩小范围，在步骤 3 中设置离线存储 KMS 密钥后，请返回到此策略并将其替换为密钥 ARN。

步骤 2：在账户 B 中设置离线存储 Amazon S3 存储桶

在账户 B 中创建 Amazon S3 存储桶。如果您使用的是默认 AmazonSageMakerFeatureStoreAccess 策略，则存储桶名称必须包含 SageMaker、Sagemaker 或 sagemaker。如以下示例所示编辑存储桶策略，以允许账户 A 读取和写入对象。

本文档将以下示例存储桶策略称为 Account-B-Offline-Feature-Store-Bucket。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3CrossAccountBucketAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:GetBucketAcl"
            ],
            "Principal": {
                "AWS": [
                    "*Account-A-Offline-Feature-Store-Role-ARN*"
                ],
            },
            "Resource": [
                "arn:aws:s3:::offline-store-bucket-name/*",
                "arn:aws:s3:::offline-store-bucket-name"
            ]
        }
    ]
} 

在前面的政策中，委托人是Account-A-Offline-Feature-Store-Role-ARN，即在步骤 1 中在账户 A 中创建的角色，并提供给 Amazon F SageMaker eature Store 以写入线下商店。您可以在 Principal 下提供多个 ARN 角色。

步骤 3：在账户 A 中设置离线存储 Amazon KMS 加密密钥

Amazon F SageMaker eature Store 可确保始终为离线商店中的 Amazon S3 对象启用服务器端加密。对于跨账户使用案例，您必须提供客户托管密钥，这样便能控制谁可以写入离线存储（在本例中为账户 A 的 Account-A-Offline-Feature-Store-Role-ARN）以及谁可以从离线存储读取信息（在本例中为账户 B 的身份）。

本文档将以下示例密钥策略称为 Account-A-Offline-Feature-Store-KMS-Key-ARN。

{
    "Version": "2012-10-17",
    "Id": "key-consolepolicy-3",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::Account-A-Account-Id:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow access for Key Administrators",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::Account-A-Account-Id:role/Administrator",
                ]
            },
            "Action": [
                "kms:Create*",
                "kms:Describe*",
                "kms:Enable*",
                "kms:List*",
                "kms:Put*",
                "kms:Update*",
                "kms:Revoke*",
                "kms:Disable*",
                "kms:Get*",
                "kms:Delete*",
                "kms:TagResource",
                "kms:UntagResource",
                "kms:ScheduleKeyDeletion",
                "kms:CancelKeyDeletion"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow Feature Store to get information about the customer managed key",
            "Effect": "Allow",
            "Principal": {
                "Service": "sagemaker.amazonaws.com"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "*Account-A-Offline-Feature-Store-Role-ARN*",
                    "*arn:aws:iam::Account-B-Account-Id:root*"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:RetireGrant",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo",
                "kms:GenerateDataKey",
                "kms:ListAliases",
                "kms:ListGrants"
            ],
            "Resource": "*",
        }
    ]
}   

步骤 4：在账户 A 中创建特征组

接下来，在账户 A 中创建特征组，在账户 B 中创建离线存储 Amazon S3 存储桶。为此，请分别为 RoleArn、OfflineStoreConfig.S3StorageConfig.KmsKeyId 和 OfflineStoreConfig.S3StorageConfig.S3Uri 提供以下参数：