设置合作伙伴 AI 应用程序

授予权限Amazon Web Services Marketplace。合作伙伴 AI 应用程序管理员需要这些权限才能从中购买合作伙伴 AI 应用程序的订阅Amazon Web Services Marketplace。要获得访问权限Amazon Web Services Marketplace，管理员必须将AWSMarketplaceManageSubscriptions托管策略附加到他们用于访问 A SageMaker I 控制台和购买应用程序的 IAM 角色。有关AWSMarketplaceManageSubscriptions托管政策的详细信息，请参阅Amazon Web Services Marketplace买家Amazon托管政策。有关附加托管策略的信息，请参阅添加和删除 IAM 身份权限。

授予 A SageMaker I 使用其他Amazon Web Services 服务人代表管理员运行操作的权限。管理员必须授予 SageMaker AI 权限才能使用这些服务及其操作的资源。以下策略定义演示了如何授予所需的合作伙伴 AI 应用程序权限。除了管理员角色的现有权限外，还需具有这些权限。有关更多信息，请参阅 如何使用 SageMaker AI 执行角色。

合作伙伴 AI 应用程序需要一个执行角色来与 Amazon Web Services 账户中的资源进行交互。管理员可以使用 Amazon CLI 创建此执行角色。合作伙伴 AI 应用程序使用此角色来完成与合作伙伴 AI 应用程序功能相关的操作。

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

按照为 L Amazon License Manager icense Manager 创建服务相关角色中的步骤创建服务相关角色。 

使用 Amazon CLI 授予合作伙伴 AI 应用程序访问 License Manager 的权限。需要这些权限才能访问合作伙伴 AI 应用程序的许可证。这可让合作伙伴 AI 应用程序验证对合作伙伴 AI 应用程序许可证的访问权限。

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

如果合作伙伴 AI 应用程序需要访问 Amazon S3 存储桶，需向执行角色添加 Amazon S3 权限。有关更多信息，请参阅 Amazon S3 API 操作所需的权限。

确保合作伙伴 AI 应用程序执行角色具有所需的 Amazon Bedrock 权限。添加以下权限以启用 Amazon Bedrock 模型访问权限：

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name BedrockInferencePolicy --policy-document '{
	   "Version": "2012-10-17",		 	 	 
	   "Statement": {
	     "Effect": "Allow",
	     "Action": [
	       "bedrock:InvokeModel",
	       "bedrock:GetFoundationModel",
	       "bedrock:GetInferenceProfile"
	     ],
	     "Resource": "*"
	   }
	 }'

确定您的组织想要提供给合作伙伴 AI 应用程序的 Amazon Bedrock 模型。您可以使用 Amazon Bedrock 控制台查看您所在地区的可用型号。有关各地区模型可用性的信息，请参阅模型支持Amazon Web Services 区域。

（可选）创建客户管理的推理配置文件，用于成本跟踪和模型管理。推理配置文件允许您专门跟踪 Partner AI 应用程序的 Amazon Bedrock 使用情况，并且可以在当前区域没有模型时启用跨区域推理。有关更多信息，请参阅在 Amazon Bedrock 中使用推理配置文件。

创建或更新 Partner AI 应用程序时，请使用CreatePartnerApp或 UpdatePartnerApp API 指定允许的模型和推理配置文件。Partner AI 应用程序只能访问您明确配置的模型和推理配置文件。

授予 A SageMaker I 使用其他人代表您运行操作的权限Amazon Web Services 服务。管理员必须授予 SageMaker AI 权限才能使用这些服务及其操作的资源。管理员使用 IAM 执行角色向 A SageMaker I 授予这些权限。有关 IAM 角色的更多信息，请参阅 IAM 角色。以下策略定义演示了如何授予所需的合作伙伴 AI 应用程序权限。可将此策略添加到用户配置文件的执行角色中。  有关更多信息，请参阅 如何使用 SageMaker AI 执行角色。

（可选）如果从 Studio 启动合作伙伴 AI 应用程序，请将 sts:TagSession 信任策略添加到用于启动 Studio 的角色，或直接将该策略添加到合作伙伴 AI 应用程序中，如下所示。这将确保身份能够正常传播。

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

（可选）如果使用合作伙伴 AI 应用程序的 SDK 来访问 SageMaker AI 中的功能，请向用于运行 SDK 代码的角色添加以下CallPartnerAppApi权限。如果从 Studio 运行 SDK 代码，请向 Studio 执行角色添加权限。如果从 Studio 以外的任何其他位置运行代码，请向笔记本中使用的 IAM 角色添加权限。这可让用户从合作伙伴 AI 应用程序 SDK 访问合作伙伴 AI 应用程序的功能。