Amazon 的操作、资源和条件密钥 SageMaker - 服务授权参考
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon 的操作、资源和条件密钥 SageMaker

Amazon SageMaker (服务前缀:sagemaker)提供以下特定于服务的资源、操作和条件上下文密钥,供在 IAM 权限策略中使用。

参考:

Amazon 定义的操作 SageMaker

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。您在策略中使用一项操作时,通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource 元素中指定策略应用的所有资源(“*”)。通过在 IAM policy 中使用条件来筛选访问权限,以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源,则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限,则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息,请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型(* 为必需)列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列,这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息,请参阅操作表

操作 描述 访问级别 资源类型(* 为必需) 条件键 相关操作
AddAssociation 授予将世系实体(神器、上下文、动作、实验 experiment-trial-component)相互关联的权限 写入

action*

artifact*

context*

experiment*

experiment-trial-component*

AddTags 授予为指定 Amazon SageMaker 资源添加或覆盖一个或多个标签的权限 标记

action

algorithm

app

app-image-config

artifact

automl-job

cluster

code-repository

compilation-job

context

data-quality-job-definition

device

device-fleet

domain

edge-deployment-plan

edge-packaging-job

endpoint

endpoint-config

experiment

experiment-trial

experiment-trial-component

feature-group

flow-definition

hub

hub-content

human-task-ui

hyper-parameter-tuning-job

image

inference-component

inference-recommendations-job

labeling-job

mlflow-tracking-server

model

model-bias-job-definition

model-card

model-explainability-job-definition

model-package

model-package-group

model-quality-job-definition

monitoring-schedule

notebook-instance

optimization-job

pipeline

processing-job

project

space

studio-lifecycle-config

training-job

transform-job

user-profile

workteam

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:TaggingAction

AssociateTrialComponent 授予权限以将试用组件与试用关联 写入

experiment-trial*

experiment-trial-component*

BatchDescribeModelPackage 授予描述一个或多个的权限 ModelPackages 读取

model-package*

BatchGetMetrics [仅权限] 授予检索与 SageMaker 资源(例如训练作业或试用组件)关联的指标的权限。虽然此 API 目前未公开发布,但管理员可以控制该操作 读取

experiment-trial-component*

training-job*

BatchGetRecord 授予从一个或多个功能组获取一批记录的权限 读取

feature-group*

BatchPutMetrics 授予发布与 SageMaker 资源(例如 Training Job 或试用组件)关联的指标的权限 写入

experiment-trial-component*

training-job*

CreateAction 授予权限以创建操作 Write

action*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateAlgorithm 授予权限以创建算法 写入

algorithm*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateApp 授予为 SageMaker UserProfile 或空间创建应用程序的权限 写入

app*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:ImageArns

sagemaker:ImageVersionArns

sagemaker:OwnerUserProfileArn

sagemaker:SpaceSharingType

CreateAppImageConfig 授予创建 AppImageConfig 写入

app-image-config*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateArtifact 授予权限以创建构件 Write

artifact*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateAutoMLJob 授予权限以创建 AutoML 作业 写入

automl-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InterContainerTrafficEncryption

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateAutoMLJobV2 授予权限以创建 V2 AutoML 任务 写入

automl-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InterContainerTrafficEncryption

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateCluster 授予创建 SageMaker HyperPod 集群的权限 写入

cluster*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCodeRepository 授予创建 CodeRepository 写入

code-repository*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCompilationJob 授予权限以创建编译作业 Write

compilation-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateContext 授予权限以创建上下文 Write

context*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDataQualityJobDefinition 授予权限以创建数据质量作业定义 Write

data-quality-job-definition*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:InterContainerTrafficEncryption

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateDeviceFleet 授予创建设备队列的权限 写入

device-fleet*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDomain 授予为 SageMaker Studio 创建域名的权限 写入

domain*

iam:CreateServiceLinkedRole

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:AppNetworkAccessType

sagemaker:InstanceTypes

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

sagemaker:DomainSharingOutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:ImageArns

sagemaker:ImageVersionArns

CreateEdgeDeploymentPlan 授予创建边缘部署计划的权限 写入

edge-deployment-plan*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateEdgeDeploymentStage 授予创建边缘部署阶段的权限 写入

edge-deployment-plan*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateEdgePackagingJob 授予创建边缘打包作业的权限 Write

edge-packaging-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateEndpoint 授予权限以使用在请求中指定的终端节点配置创建终端节点 写入

endpoint*

sagemaker:AddTags

endpoint-config*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateEndpointConfig 授予创建可使用 Amazon SageMaker 托管服务部署的终端节点配置的权限 写入

endpoint-config*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:AcceleratorTypes

sagemaker:InstanceTypes

sagemaker:ModelArn

sagemaker:VolumeKmsKey

sagemaker:ServerlessMaxConcurrency

sagemaker:ServerlessMemorySize

sagemaker:NetworkIsolation

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateExperiment 授予权限以创建实验 Write

experiment*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFeatureGroup 授予权限以创建功能组 Write

feature-group*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:FeatureGroupOnlineStoreKmsKey

sagemaker:FeatureGroupOfflineStoreKmsKey

sagemaker:FeatureGroupOfflineStoreS3Uri

sagemaker:FeatureGroupEnableOnlineStore

sagemaker:FeatureGroupOfflineStoreConfig

sagemaker:FeatureGroupDisableGlueTableCreation

CreateFlowDefinition 授予权限以创建用于定义人工工作流程设置的流定义 写入

flow-definition*

iam:PassRole

sagemaker:AddTags

sagemaker:WorkteamArn

sagemaker:WorkteamType

aws:RequestTag/${TagKey}

aws:TagKeys

CreateHub 授予权限以创建中心 写入

hub*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateHubContentReference 授予创建中心内容参考的权限 写入

hub*

sagemaker:AddTags

hub-content*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateHumanTaskUi 授予权限以定义将用于人工审查工作流程用户界面的设置 写入

human-task-ui*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateHyperParameterTuningJob 授予创建可使用 Amazon 部署的超参数调整任务的权限 SageMaker 写入

hyper-parameter-tuning-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:FileSystemAccessMode

sagemaker:FileSystemDirectoryPath

sagemaker:FileSystemId

sagemaker:FileSystemType

sagemaker:InstanceTypes

sagemaker:InterContainerTrafficEncryption

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateImage 授予创建 SageMaker 图像的权限 写入

image*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateImageVersion 授予创建 SageMaker ImageVersion 写入

image*

CreateInferenceComponent 授予在端点上创建推理组件的权限 写入

endpoint*

sagemaker:AddTags

inference-component*

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:ModelArn

CreateInferenceExperiment 授予权限以创建推理实验 写入

inference-experiment*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateInferenceRecommendationsJob 授予创建推理建议任务的权限 写入

inference-recommendations-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateLabelingJob 授予权限以启动标记作业。标注作业接收未标记的数据并生成带标签的数据作为输出,可用于训练模型 SageMaker 写入

labeling-job*

iam:PassRole

sagemaker:AddTags

sagemaker:WorkteamArn

sagemaker:WorkteamType

sagemaker:VolumeKmsKey

sagemaker:OutputKmsKey

aws:RequestTag/${TagKey}

aws:TagKeys

CreateLineageGroupPolicy 授予权限以创建谱系组策略 写入
CreateMlflowTrackingServer 授予创建 mlFlow 跟踪服务器的权限 写入

mlflow-tracking-server*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateModel 授予在 Amazon 中创建模型的权限 SageMaker。在请求中,您可以指定模型的名称并描述一个或多个容器 Write

model*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:NetworkIsolation

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateModelBiasJobDefinition 授予权限以创建模型偏差作业定义 写入

model-bias-job-definition*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:InterContainerTrafficEncryption

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateModelCard 授予权限以创建模型卡 写入

model-card*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateModelCardExportJob 授予权限以创建模型卡的导出作业 写入

model-card*

CreateModelExplainabilityJobDefinition 授予权限以创建模型可解释性作业定义 写入

model-explainability-job-definition*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:InterContainerTrafficEncryption

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateModelPackage 授予创建 ModelPackage 写入

model-package

sagemaker:AddTags

model-package-group

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:ModelApprovalStatus

sagemaker:CustomerMetadataProperties/${MetadataKey}

CreateModelPackageGroup 授予创建 ModelPackageGroup 写入

model-package-group*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateModelQualityJobDefinition 授予权限以创建模型质量作业定义 Write

model-quality-job-definition*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:InterContainerTrafficEncryption

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateMonitoringSchedule 授予权限以创建监控计划 写入

monitoring-schedule*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:InterContainerTrafficEncryption

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateNotebookInstance 授予创建 Amazon SageMaker 笔记本实例的权限。笔记本实例是在 Jupyter Notebook 上运行的 Amazon EC2 实例 写入

notebook-instance*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:AcceleratorTypes

sagemaker:DirectInternetAccess

sagemaker:InstanceTypes

sagemaker:MinimumInstanceMetadataServiceVersion

sagemaker:RootAccess

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

CreateNotebookInstanceLifecycleConfig 授予创建可使用 Amazon 部署的笔记本实例生命周期配置的权限 SageMaker 写入

notebook-instance-lifecycle-config*

CreateOptimizationJob 授予创建优化作业的权限 写入

optimization-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreatePipeline 授予权限以创建管道 写入

pipeline*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreatePresignedDomainUrl 授予权限以返回 URL,当为 “IAM” UserProfile 时 AuthMode ,您可以通过浏览器使用该网址连接域名 写入

user-profile*

CreatePresignedMlflowTrackingServerUrl 授予返回 URL 的权限,您可以通过浏览器使用该网址连接到 mlFlow 跟踪服务器 写入

mlflow-tracking-server*

CreatePresignedNotebookInstanceUrl 授予权限以创建一个您可用来从您的浏览器连接到笔记本实例的 URL Write

notebook-instance*

CreateProcessingJob 授予权限以启动处理运行。处理完成后,Amazon SageMaker 会将生成的项目和其他可选输出保存到您指定的 Amazon S3 位置 写入

processing-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

sagemaker:InterContainerTrafficEncryption

CreateProject 授予权限以创建项目 Write

project*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSharedModel [仅权限] 授予在 SageMaker Studio 应用程序中创建共享模型的权限 写入

shared-model*

CreateSpace 授予为 SageMaker 域创建空间的权限 写入

space*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:ImageArns

sagemaker:ImageVersionArns

sagemaker:OwnerUserProfileArn

sagemaker:SpaceSharingType

CreateStudioLifecycleConfig 授予创建可使用 Amazon 部署的 Studio 生命周期配置的权限 SageMaker 写入

studio-lifecycle-config*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTrainingJob 授予权限以启动模型训练作业。训练完成后,Amazon SageMaker 会将生成的模型构件和其他可选输出保存到您指定的 Amazon S3 位置 写入

training-job*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:FileSystemAccessMode

sagemaker:FileSystemDirectoryPath

sagemaker:FileSystemId

sagemaker:FileSystemType

sagemaker:InstanceTypes

sagemaker:InterContainerTrafficEncryption

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

sagemaker:KeepAlivePeriod

sagemaker:EnableRemoteDebug

CreateTransformJob 授予权限以启动转换作业。获得结果后,Amazon SageMaker 会将其保存到您指定的 Amazon S3 位置 写入

transform-job*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:ModelArn

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

CreateTrial 授予权限以创建试用 Write

experiment*

sagemaker:AddTags

experiment-trial*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTrialComponent 授予权限以创建试用组件 写入

experiment-trial-component*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateUserProfile 授予 UserProfile 为 SageMaker 域创建的权限 写入

user-profile*

iam:PassRole

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:VpcSecurityGroupIds

sagemaker:InstanceTypes

sagemaker:DomainSharingOutputKmsKey

sagemaker:ImageArns

sagemaker:ImageVersionArns

CreateWorkforce 授予权限以创建人力 Write

workforce*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkteam 授予权限以创建工作组 Write

workteam*

sagemaker:AddTags

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAction 授予权限以删除操作 Write

action*

DeleteAlgorithm 授予权限以删除算法 Write

algorithm*

DeleteApp 授予权限以删除应用程序 写入

app*

sagemaker:OwnerUserProfileArn

sagemaker:SpaceSharingType

DeleteAppImageConfig 授予删除的权限 AppImageConfig 写入

app-image-config*

DeleteArtifact 授予权限以删除构件 写入

artifact*

DeleteAssociation 授予将关联从世系实体(工件、上下文、动作、实验 experiment-trial-component)删除到另一个血统实体的权限 写入

action*

artifact*

context*

experiment*

experiment-trial-component*

DeleteCluster 授予删除 SageMaker HyperPod 集群的权限 写入

cluster*

DeleteCodeRepository 授予删除权限 CodeRepository 写入

code-repository*

DeleteCompilationJob 授予删除编译作业的权限 写入

compilation-job*

DeleteContext 授予权限以删除上下文 写入

context*

DeleteDataQualityJobDefinition 授予删除使用 CreateDataQualityJobDefinition API 创建的数据质量作业定义的权限 写入

data-quality-job-definition*

DeleteDeviceFleet 授予删除设备队列的权限 Write

device-fleet*

DeleteDomain 授予权限以删除域 写入

domain*

DeleteEdgeDeploymentPlan 授予删除边缘部署计划的权限 写入

edge-deployment-plan*

DeleteEdgeDeploymentStage 授予删除边缘部署阶段的权限 写入

edge-deployment-plan*

DeleteEndpoint 授予权限以删除终端节点。Amazon 会 SageMaker 释放创建终端节点时部署的所有资源 写入

endpoint*

DeleteEndpointConfig 授予删除使用 CreateEndpointConfig API 创建的终端节点配置的权限。 DeleteEndpointConfig API 仅删除指定的配置。它不删除使用此配置创建的任何终端节点 Write

endpoint-config*

DeleteExperiment 授予权限以删除实验 Write

experiment*

DeleteFeatureGroup 授予权限以删除功能组 Write

feature-group*

aws:RequestTag/${TagKey}

DeleteFlowDefinition 授予权限以删除指定的流定义 写入

flow-definition*

DeleteHub 授予权限以删除中心 写入

hub*

DeleteHubContent 授予权限以删除中心内容 写入

hub*

hub-content*

DeleteHubContentReference 授予删除中心内容引用的权限 写入

hub*

hub-content*

DeleteHumanLoop 授予权限以删除指定的人工循环 Write

human-loop*

DeleteHumanTaskUi 授予权限以删除指定的人工任务用户界面(工作人员任务模板) 写入

human-task-ui*

DeleteHyperParameterTuningJob 授予删除超参数调优作业的权限 写入

hyper-parameter-tuning-job*

DeleteImage 授予删除 SageMaker 图片的权限 写入

image*

DeleteImageVersion 授予删除权限 SageMaker ImageVersion 写入

image-version*

DeleteInferenceComponent 授予删除推理组件的权限 Amazon SageMaker 释放了创建推理组件时保留的资源 写入

inference-component*

DeleteInferenceExperiment 授予权限以删除推理实验 写入

inference-experiment*

DeleteLineageGroupPolicy 授予权限以删除谱系组策略 写入
DeleteMlflowTrackingServer 授予删除 mlFlow 跟踪服务器的权限 写入

mlflow-tracking-server*

DeleteModel 授予删除使用 CreateModel API 创建的模型的权限。 DeleteModel API 仅删除您通过调用 CreateModel API 在 Amazon SageMaker 中创建的模型条目。它不会删除模型构件、推理代码或在创建模型时指定的 IAM 角色 写入

model*

DeleteModelBiasJobDefinition 授予删除使用 CreateModelBiasJobDefinition API 创建的模型偏见任务定义的权限 写入

model-bias-job-definition*

DeleteModelCard 授予权限以删除模型卡 写入

model-card*

DeleteModelExplainabilityJobDefinition 授予删除使用 API 创建的模型可解释性任务定义的权限 CreateModelExplainabilityJobDefinition 写入

model-explainability-job-definition*

DeleteModelPackage 授予删除权限 ModelPackage 写入

model-package*

DeleteModelPackageGroup 授予删除权限 ModelPackageGroup 写入

model-package-group*

DeleteModelPackageGroupPolicy 授予删除 ModelPackageGroup 策略的权限 写入

model-package-group*

DeleteModelQualityJobDefinition 授予删除使用 CreateModelQualityJobDefinition API 创建的模型质量作业定义的权限 写入

model-quality-job-definition*

DeleteMonitoringSchedule 授予权限以删除监控计划 写入

monitoring-schedule*

DeleteNotebookInstance 授予删除 Amazon SageMaker 笔记本实例的权限。在删除笔记本实例之前,必须调用 StopNotebookInstance API 写入

notebook-instance*

DeleteNotebookInstanceLifecycleConfig 授予权限以删除笔记本实例生命周期配置 写入

notebook-instance-lifecycle-config*

DeleteOptimization 授予删除优化作业的权限 写入

optimization-job*

DeletePipeline 授予权限以删除管道 Write

pipeline*

DeleteProject 授予权限以删除项目 Write

project*

DeleteRecord 授予权限以从功能组中删除记录 写入

feature-group*

DeleteResourcePolicy [仅权限] 授予 Amazon Resource Access Manager 删除支持跨账户 SageMaker 共享的资源的资源策略的权限 写入
DeleteSpace 授予权限以删除 Space 写入

space*

sagemaker:OwnerUserProfileArn

sagemaker:SpaceSharingType

DeleteStudioLifecycleConfig 授予权限以删除 Studio 生命周期配置 写入

studio-lifecycle-config*

DeleteTags 授予从 Amazon SageMaker 资源中删除指定标签集的权限 标记

action

algorithm

app

app-image-config

artifact

automl-job

cluster

code-repository

compilation-job

context

data-quality-job-definition

device

device-fleet

domain

edge-deployment-plan

edge-packaging-job

endpoint

endpoint-config

experiment

experiment-trial

experiment-trial-component

feature-group

flow-definition

hub

hub-content

human-task-ui

hyper-parameter-tuning-job

image

inference-component

inference-recommendations-job

labeling-job

mlflow-tracking-server

model

model-bias-job-definition

model-card

model-explainability-job-definition

model-package

model-package-group

model-quality-job-definition

monitoring-schedule

notebook-instance

optimization-job

pipeline

processing-job

project

space

studio-lifecycle-config

training-job

transform-job

user-profile

workteam

aws:TagKeys

DeleteTrial 授予权限以删除试用 Write

experiment-trial*

DeleteTrialComponent 授予权限以删除试用组件 写入

experiment-trial-component*

DeleteUserProfile 授予删除权限 UserProfile 写入

user-profile*

DeleteWorkforce 授予权限以删除人力 Write

workforce*

DeleteWorkteam 授予权限以删除工作组 写入

workteam*

DeployHubModel 授予将 Hub 中的模型部署到终端节点的权限 写入

hub*

hub-content*

DeregisterDevices 授予注销一组设备的权限 Write

device*

DescribeAction 授予权限以获取有关操作的信息 Read

action*

DescribeAlgorithm 授予描述算法的权限 Read

algorithm*

DescribeApp 授予权限以描述应用程序 读取

app*

DescribeAppImageConfig 授予描述的权限 AppImageConfig 读取

app-image-config*

DescribeArtifact 授予权限以获取有关构件的信息 读取

artifact*

DescribeAutoMLJob 授予描述通过 mlJob API 创建的 AutoML 作业的 CreateAuto权限 读取

automl-job*

DescribeAutoMLJobV2 授予描述通过 mlJobv2 API 创建的 AutoML 作业的 CreateAuto权限 读取

automl-job*

DescribeCluster 授予返回有关 SageMaker HyperPod 集群信息的权限 读取

cluster*

DescribeClusterNode 授予返回有关 SageMaker HyperPod 群集节点信息的权限 读取

cluster*

DescribeCodeRepository 授予描述的权限 CodeRepository 读取

code-repository*

DescribeCompilationJob 授予权限以返回有关编译作业的信息 Read

compilation-job*

DescribeContext 授予权限以获取有关上下文的信息 Read

context*

DescribeDataQualityJobDefinition 授予权限以返回有关数据质量作业定义的信息 Read

data-quality-job-definition*

DescribeDevice 授予访问设备相关信息的权限 Read

device*

DescribeDeviceFleet 授予访问设备队列相关信息的权限 Read

device-fleet*

DescribeDomain 授予权限以描述域 读取

domain*

DescribeEdgeDeploymentPlan 授予访问边缘部署计划相关信息的权限 读取

edge-deployment-plan*

DescribeEdgePackagingJob 授予访问边缘打包作业相关信息的权限 Read

edge-packaging-job*

DescribeEndpoint 授予权限以返回终端节点的描述 读取

endpoint*

DescribeEndpointConfig 授予返回使用 CreateEndpointConfig API 创建的终端节点配置描述的权限 读取

endpoint-config*

DescribeExperiment 授予权限以返回有关实验的信息 Read

experiment*

DescribeFeatureGroup 授予权限以返回有关功能组的信息 读取

feature-group*

DescribeFeatureMetadata 授予返回有关功能元数据的信息的权限 读取

feature-group*

DescribeFlowDefinition 授予权限以返回有关指定的流定义的信息 读取

flow-definition*

DescribeHub 授予权限以描述中心 读取

hub*

DescribeHubContent 授予权限以描述中心内容 读取

hub*

hub-content*

DescribeHumanLoop 授予权限以返回有关指定的人工循环的信息 读取

human-loop*

DescribeHumanTaskUi 授予权限以返回有关指定的人工审查工作流程用户界面的详细信息 读取

human-task-ui*

DescribeHyperParameterTuningJob 授予描述通过 API 创建的超参数调整任务的 CreateHyperParameterTuningJob 权限 读取

hyper-parameter-tuning-job*

DescribeImage 授予返回 SageMaker 图片相关信息的权限 读取

image*

DescribeImageVersion 授予返回有关 a 的信息的权限 SageMaker ImageVersion 读取

image-version*

DescribeInferenceComponent 授予返回推理组件的描述的权限 读取

inference-component*

DescribeInferenceExperiment 授予权限以获取有关推理实验的信息 读取

inference-experiment*

DescribeInferenceRecommendationsJob 授予权限以获取有关推理建议任务的信息 读取

inference-recommendations-job*

DescribeLabelingJob 授予权限以返回有关标记作业的信息 读取

labeling-job*

DescribeLineageGroup 授予权限以描述谱系组 读取
DescribeMlflowTrackingServer 授予获取有关 mlFlow 跟踪服务器信息的权限 读取

mlflow-tracking-server*

DescribeModel 授予描述您使用 CreateModel API 创建的模型的权限 读取

model*

DescribeModelBiasJobDefinition 授予权限以返回有关模型偏差作业定义的信息 读取

model-bias-job-definition*

DescribeModelCard 授予权限以获取有关模型卡的信息 读取

model-card*

DescribeModelCardExportJob 授予权限以获取有关模型卡导出作业的信息 读取

model-card-export-job*

DescribeModelExplainabilityJobDefinition 授予权限以返回有关模型可解释性作业定义的信息 读取

model-explainability-job-definition*

DescribeModelPackage 授予描述的权限 ModelPackage 读取

model-package*

DescribeModelPackageGroup 授予描述的权限 ModelPackageGroup 读取

model-package-group*

DescribeModelQualityJobDefinition 授予权限以返回有关模型质量作业定义的信息 Read

model-quality-job-definition*

DescribeMonitoringSchedule 授予权限以返回有关监控计划的信息 Read

monitoring-schedule*

DescribeNotebookInstance 授予权限以返回有关笔记本实例的信息 读取

notebook-instance*

DescribeNotebookInstanceLifecycleConfig 授予描述通过 CreateNotebookInstanceLifecycleConfig API 创建的笔记本实例生命周期配置的权限 读取

notebook-instance-lifecycle-config*

DescribeOptimizationJob 授予返回优化任务相关信息的权限 读取

optimization-job*

DescribePipeline 授予权限以获取有关管道的信息 Read

pipeline*

DescribePipelineDefinitionForExecution 授予权限以获取管道执行的管道定义 Read

pipeline-execution*

DescribePipelineExecution 授予权限以获取有关管道执行的信息 Read

pipeline-execution*

DescribeProcessingJob 授予权限以返回有关处理作业的信息 Read

processing-job*

DescribeProject 授予权限以描述项目 读取

project*

DescribeSharedModel [仅权限] 授予在 SageMaker Studio 应用程序中描述共享模型的权限 读取

shared-model*

DescribeSpace 授予权限以描述 Space 读取

space*

DescribeStudioLifecycleConfig 授予权限以描述 Studio 生命周期配置 读取

studio-lifecycle-config*

DescribeSubscribedWorkteam 授予权限以返回有关订阅的工作组的信息 Read

workteam*

DescribeTrainingJob 授予权限以返回有关训练作业的信息 Read

training-job*

DescribeTransformJob 授予权限以返回有关转换作业的信息 Read

transform-job*

DescribeTrial 授予权限以返回有关试用的信息 Read

experiment-trial*

DescribeTrialComponent 授予权限以返回有关试用组件的信息 读取

experiment-trial-component*

DescribeUserProfile 授予描述的权限 UserProfile 读取

user-profile*

DescribeWorkforce 授予权限以返回有关人力的信息 Read

workforce*

DescribeWorkteam 授予权限以返回有关工作组的信息 读取

workteam*

DisableSagemakerServicecatalogPortfolio 授予禁用 S SageMaker ervice Catalog 组合的权限 写入
DisassociateTrialComponent 授予权限以取消试用组件与试用的关联 写入

experiment-trial*

experiment-trial-component*

processing-job*

EnableSagemakerServicecatalogPortfolio 授予启用 S SageMaker ervice Catalog 组合的权限 写入
GetDeployments 授予权限以获取设备的部署计划 读取

device*

GetDeviceFleetReport 授予访问设备队列中设备摘要的权限 Read

device-fleet*

GetDeviceRegistration 授予获取设备注册的权限。将模型部署到边缘设备之后,此 API 用于获取当前设备注册 读取

device*

GetLineageGroupPolicy 授予权限以检索谱系组策略 读取
GetModelPackageGroupPolicy 授予获取 ModelPackageGroup 策略的权限 读取

model-package-group*

GetRecord 授予权限以从功能组获取记录 读取

feature-group*

GetResourcePolicy [仅权限] 授予 Amazon Resource Access Manager 在支持跨账户共享的 SageMaker 资源上检索资源策略的权限 读取
GetSagemakerServicecatalogPortfolioStatus 授予获取 S SageMaker ervice Catalog 组合的权限 读取
GetScalingConfigurationRecommendation 授予权限以获取扩展策略配置建议 读取

inference-recommendations-job*

GetSearchSuggestions 授予权限以在随关键字提供时,获取搜索建议 读取
ImportHubContent 授予权限以导入中心内容 写入

hub*

sagemaker:AddTags

hub-content*

aws:RequestTag/${TagKey}

aws:TagKeys

InvokeEndpoint 授予权限以调用终端节点。在您使用 Amazon SageMaker 托管服务将模型部署到生产环境后,您的客户端应用程序将使用此 API 从托管在指定终端节点上的模型中获取推论 读取

endpoint*

inference-component

sagemaker:TargetModel

InvokeEndpointAsync 授予以异步方式从指定端点的托管模型获取推断的权限 读取

endpoint*

InvokeEndpointWithResponseStream 授予从指定端点获取作为流的推理响应的权限 读取

endpoint*

inference-component

ListActions 授予权限以列出操作 List
ListAlgorithms 授予权限以列出算法 列出
ListAliases 授予列出属于 SageMaker 图片或 Sagemaker 的别名的权限 ImageVersion 列出

image*

image-version*

ListAppImageConfigs 授予 AppImageConfigs 在您的账户中发布商品的权限 列出
ListApps 授予权限以列出您账户中的应用程序 List
ListArtifacts 授予权限以列出构件 List
ListAssociations 授予权限以列出关联 List
ListAutoMLJobs 授予权限以列出 AutoML 作业 List
ListCandidatesForAutoMLJob 授予权限以列出 AutoML 作业的候选项 列出
ListClusterNodes 授予列出 SageMaker HyperPod 集群内节点的权限 列出

cluster*

ListClusters 授予列出 SageMaker HyperPod 集群的权限 列出
ListCodeRepositories 授予权限以列出代码存储库 List
ListCompilationJobs 授予权限以列出编译作业 列出
ListContexts 授予列出上下文的权限 列出
ListDataQualityJobDefinitions 授予权限以列出数据质量作业定义 List
ListDeviceFleets 授予列出设备队列的权限 List
ListDevices 授予权限以列出设备 List
ListDomains 授予权限以列出您账户中的域名 列出
ListEdgeDeploymentPlans 授予列出边缘部署计划的权限 列出
ListEdgePackagingJobs 授予列出边缘打包作业的权限 List
ListEndpointConfigs 授予权限以列出终端节点配置 List
ListEndpoints 授予列出终端节点的权限 List
ListExperiments 授予权限以列出实验 List
ListFeatureGroups 授予权限以列出功能组 List
ListFlowDefinitions 授予权限以返回有关流定义的摘要信息(在给定指定参数的情况下) 列出
ListHubContentVersions 授予权限以列出中心内容的所有版本 列出

hub*

hub-content*

ListHubContents 授予权限以列出中心内容的最新版本 列出

hub*

ListHubs 授予权限以列出中心 列出
ListHumanLoops 授予权限以返回有关人工循环的摘要信息(在给定指定参数的情况下) List
ListHumanTaskUis 授予权限以返回有关人工审查工作流程用户界面的摘要信息(在给定指定参数的情况下) List
ListHyperParameterTuningJobs 授予权限以列出超参数优化作业 列出
ListImageVersions 授予发布 ImageVersions 属于某 SageMaker 张图片的商品的权限 列出

image*

ListImages 授予在您的账户中发布 SageMaker 图片的权限 列出
ListInferenceComponents 授予列出推理组件的权限 列出
ListInferenceExperiments 授予权限以列出推理实验 列出
ListInferenceRecommendationsJobSteps 授予列出推理建议任务步骤的权限 列出
ListInferenceRecommendationsJobs 授予列出推理建议任务的权限 列出
ListLabelingJobs 授予权限以列出标记作业 List
ListLabelingJobsForWorkteam 授予权限以列出工作组的标记作业 列出

workteam*

ListLineageGroups 授予列出谱系组的权限 列出
ListMlflowTrackingServers 授予列出 mlFlow 跟踪服务器的权限 列出

mlflow-tracking-server*

ListModelBiasJobDefinitions 授予权限以列出模型偏差作业定义 列出
ListModelCardExportJobs 授予权限以列出模型卡的导出作业 列出

model-card*

ListModelCardVersions 授予权限以列出模型卡的版本 列出

model-card*

ListModelCards 授予权限以列出模型卡 列出
ListModelExplainabilityJobDefinitions 授予权限以列出模型可解释性作业定义 列出
ListModelMetadata 授予权限以列出推理建议任务的模型元数据 列出
ListModelPackageGroups 授予上架权限 ModelPackageGroups 列出
ListModelPackages 授予上架权限 ModelPackages 列出

model-package

ListModelQualityJobDefinitions 授予权限以列出模型质量作业定义 列出
ListModels 授予列出使用 CreateModel API 创建的模型的权限 列出
ListMonitoringAlertHistory 授予权限以列出监控警报的历史记录 列出
ListMonitoringAlerts 授予权限以列出监控警报 列出
ListMonitoringExecutions 授予权限以列出监控执行 List
ListMonitoringSchedules 授予权限以列出监控计划 列出
ListNotebookInstanceLifecycleConfigs 授予列出可使用 Amazon 部署的笔记本实例生命周期配置的权限 SageMaker 列出
ListNotebookInstances 授予在请求者账户中列出 Amazon SageMaker 笔记本实例的权限 Amazon Web Services 区域 列出
ListOptimizationJobs 授予列出优化任务的权限 列出
ListPipelineExecutionSteps 授予列出管道执行步骤的权限 List

pipeline-execution*

ListPipelineExecutions 授予列出管道执行的权限 List

pipeline*

ListPipelineParametersForExecution 授予列出管道执行参数的权限 List

pipeline-execution*

ListPipelines 授予权限以列出管道 List
ListProcessingJobs 授予权限以列出处理作业 List
ListProjects 授予权限以列出项目 列出
ListResourceCatalogs 授予权限以列出资源目录 列出
ListSharedModelEvents [仅权限] 授予权限以列出共享模型事件 列出
ListSharedModelVersions [仅权限] 授予权限以列出共享模型版本 列出

shared-model*

ListSharedModels [仅权限] 授予权限以列出共享模型 列出
ListSpaces 授予权限以列出账户中的 Space 列出
ListStageDevices 授予列出阶段设备的权限 列出
ListStudioLifecycleConfigs 授予列出可使用 Amazon 部署的 Studio 生命周期配置的权限 SageMaker 列出
ListSubscribedWorkteams 授予权限以列出订阅的工作组 List
ListTags 授予权限以列出与指定资源关联的标签集 List

action

algorithm

app

app-image-config

artifact

automl-job

cluster

code-repository

compilation-job

context

data-quality-job-definition

device

device-fleet

domain

edge-deployment-plan

edge-packaging-job

endpoint

endpoint-config

experiment

experiment-trial

experiment-trial-component

feature-group

flow-definition

hub

hub-content

human-task-ui

hyper-parameter-tuning-job

image

inference-component

inference-recommendations-job

labeling-job

mlflow-tracking-server

model

model-bias-job-definition

model-card

model-explainability-job-definition

model-package

model-package-group

model-quality-job-definition

monitoring-schedule

notebook-instance

optimization-job

pipeline

processing-job

project

space

studio-lifecycle-config

training-job

transform-job

user-profile

workteam

ListTrainingJobs 授予权限以列出训练作业 List
ListTrainingJobsForHyperParameterTuningJob 授予权限以列出超参数优化作业的训练作业 List

hyper-parameter-tuning-job*

ListTransformJobs 授予权限以列出转换作业 List
ListTrialComponents 授予权限以列出试用组件 List
ListTrials 授予权限以列出试用 列出
ListUserProfiles 授予 UserProfiles 在您的账户中发布商品的权限 列出
ListWorkforces 授予权限以列出人力 List
ListWorkteams 授予权限以列出工作组 列出
PutLineageGroupPolicy 授予权限以放置谱系组策略 写入
PutModelPackageGroupPolicy 授予发布 ModelPackageGroup 政策的权限 写入

model-package-group*

PutRecord 授予权限以将记录放入功能组 写入

feature-group*

PutResourcePolicy [仅权限] 授予 Amazon Resource Access Manager 在支持跨账户共享的 SageMaker 资源上创建资源策略的权限 写入
QueryLineage 授予探索谱系图的权限 列出
RegisterDevices 授予注册一组设备的权限 Write

device*

aws:RequestTag/${TagKey}

aws:TagKeys

RenderUiTemplate 提供用于人工注释任务的 UI 模板 读取

iam:PassRole

RetryPipelineExecution 授予权限以重试管道执行 写入

pipeline-execution*

授予搜索 SageMaker 对象的权限 读取

sagemaker:SearchVisibilityCondition/${FilterKey}

SendHeartbeat 授予从设备发布检测信号数据的权限。将模型部署到边缘设备后,此 API 用于报告设备状态 Write

device*

SendPipelineExecutionStepFailure 授予权限以使待处理的回调步骤失败 Write

pipeline-execution*

SendPipelineExecutionStepSuccess 授予权限以使待处理的回调步骤取得成功 写入

pipeline-execution*

SendSharedModelEvent [仅权限] 授予权限以发送共享模型事件 写入

shared-model-event*

StartEdgeDeploymentStage 授予启动边缘部署阶段的权限 写入

edge-deployment-plan*

StartHumanLoop 授予权限以启动人工循环 写入

flow-definition*

StartInferenceExperiment 授予权限以开始推理实验 写入

inference-experiment*

StartMlflowTrackingServer 授予启动 M LfLow 跟踪服务器的权限 写入

mlflow-tracking-server*

StartMonitoringSchedule 授予权限以启动监控计划 Write

monitoring-schedule*

StartNotebookInstance 授予权限以启动笔记本实例。这使用最新版本的库启动 EC2 实例并附加您的 EBS 卷 Write

notebook-instance*

StartPipelineExecution 授予权限以启动管道执行 Write

pipeline*

StopAutoMLJob 授予权限以停止运行的 AutoML 作业 Write

automl-job*

StopCompilationJob 授予权限以停止编译作业 写入

compilation-job*

StopEdgeDeploymentStage 授予停止边缘部署阶段的权限 写入

edge-deployment-plan*

StopEdgePackagingJob 授予停止边缘打包作业的权限 Write

edge-packaging-job*

StopHumanLoop 授予权限以停止指定的人工循环 写入

human-loop*

StopHyperParameterTuningJob 授予通过以下方式停止正在运行的超参数调整作业创建的权限 CreateHyperParameterTuningJob 写入

hyper-parameter-tuning-job*

StopInferenceExperiment 授予权限以停止推理实验 写入

inference-experiment*

StopInferenceRecommendationsJob 授予停止推理建议任务的权限 写入

inference-recommendations-job*

StopLabelingJob 授予权限以停止标记作业。将在停止之前导出已生成的任何标签 写入

labeling-job*

StopMlflowTrackingServer 授予停止 mlFlow 跟踪服务器的权限 写入

mlflow-tracking-server*

StopMonitoringSchedule 授予权限以停止监控计划 Write

monitoring-schedule*

StopNotebookInstance 授予权限以停止笔记本实例。这将终止 EC2 实例。在终止实例之前,Amazon 会断 SageMaker 开 EBS 卷与它的连接。亚马逊 SageMaker 保留 EBS 交易量 写入

notebook-instance*

StopOptimizationJob 授予停止优化作业的权限 写入

optimization-job*

StopPipelineExecution 授予权限以停止管道执行 Write

pipeline-execution*

StopProcessingJob 授予权限以停止处理作业。为了停止任务,Amazon SageMaker 向算法发送 SIGTERM 信号,该信号会将任务终止延迟 120 秒 写入

processing-job*

StopTrainingJob 授予权限以停止训练作业。为了停止任务,Amazon SageMaker 向算法发送 SIGTERM 信号,该信号会将任务终止延迟 120 秒 写入

training-job*

StopTransformJob 授予权限以停止转换作业。当 Amazon SageMaker 收到 StopTransformJob 请求时,任务的状态会更改为 “正在停止”。Amazon SageMaker 停止任务后,状态将设置为 “已停止” 写入

transform-job*

UpdateAction 授予权限以更新操作 写入

action*

UpdateAppImageConfig 授予更新权限 AppImageConfig 写入

app-image-config*

UpdateArtifact 授予权限以更新构件 写入

artifact*

UpdateCluster 授予更新 SageMaker HyperPod 集群的权限 写入

cluster*

iam:PassRole

UpdateClusterSoftware 授予更新 SageMaker HyperPod 群集平台软件的权限 写入

cluster*

UpdateCodeRepository 授予更新权限 CodeRepository 写入

code-repository*

UpdateContext 授予权限以更新上下文 Write

context*

UpdateDeviceFleet 授予更新设备队列的权限 Write

device-fleet*

UpdateDevices 授予更新一组设备的权限 Write

device*

UpdateDomain 授予权限以更新域 Write

domain*

sagemaker:VpcSecurityGroupIds

sagemaker:InstanceTypes

sagemaker:DomainSharingOutputKmsKey

sagemaker:ImageArns

sagemaker:ImageVersionArns

sagemaker:AppNetworkAccessType

sagemaker:VpcSubnets

UpdateEndpoint 授予权限以更新终端节点以使用在请求中指定的终端节点配置 Write

endpoint*

endpoint-config*

UpdateEndpointWeightsAndCapacities 授予权限以更新变体权重、容量或与终端节点关联的这一个或多个变体 Write

endpoint*

UpdateExperiment 授予权限以更新实验 写入

experiment*

UpdateFeatureGroup 授予更新功能组的权限 写入

feature-group*

UpdateFeatureMetadata 授予更新功能元数据的权限 写入

feature-group*

UpdateHub 授予权限以更新中心 写入

hub*

UpdateImage 授予更新 SageMaker 图像属性的权限 写入

image*

iam:PassRole

UpdateImageVersion 授予更新属性的权限 SageMaker ImageVersion 写入

image-version*

UpdateInferenceComponent 授予更新推理组件以使用在请求中指定的规范和配置的权限 写入

inference-component*

UpdateInferenceComponentRuntimeConfig 授予更新给定推理组件的运行时配置的权限 写入

inference-component*

UpdateInferenceExperiment 授予权限以更新推理实验 写入

inference-experiment*

UpdateMlflowTrackingServer 授予更新 mlFlow 跟踪服务器的权限 写入

mlflow-tracking-server*

UpdateModelCard 授予权限以更新模型卡 写入

model-card*

UpdateModelPackage 授予更新权限 ModelPackage 写入

model-package*

sagemaker:ModelApprovalStatus

sagemaker:CustomerMetadataProperties/${MetadataKey}

sagemaker:CustomerMetadataPropertiesToRemove

UpdateMonitoringAlert 授予权限以更新监控警报 写入

monitoring-schedule*

monitoring-schedule-alert*

UpdateMonitoringSchedule 授予权限以更新监控计划 Write

monitoring-schedule*

iam:PassRole

aws:RequestTag/${TagKey}

aws:TagKeys

sagemaker:InstanceTypes

sagemaker:MaxRuntimeInSeconds

sagemaker:NetworkIsolation

sagemaker:OutputKmsKey

sagemaker:VolumeKmsKey

sagemaker:VpcSecurityGroupIds

sagemaker:VpcSubnets

sagemaker:InterContainerTrafficEncryption

UpdateNotebookInstance 授予权限以更新笔记本实例。笔记本实例更新包括升级或降级用于笔记本实例的 EC2 实例以纳入工作负载要求的变化 写入

notebook-instance*

sagemaker:AcceleratorTypes

sagemaker:InstanceTypes

sagemaker:MinimumInstanceMetadataServiceVersion

sagemaker:RootAccess

UpdateNotebookInstanceLifecycleConfig 授予更新使用 CreateNotebookInstanceLifecycleConfig API 创建的笔记本实例生命周期配置的权限 写入

notebook-instance-lifecycle-config*

UpdatePipeline 授予权限以更新管道 Write

pipeline*

iam:PassRole

UpdatePipelineExecution 授予权限以更新管道执行 写入

pipeline-execution*

UpdateProject 授予权限以更新项目 写入

project*

aws:RequestTag/${TagKey}

aws:TagKeys

UpdateSharedModel [仅权限] 授予权限以更新共享模型 写入

shared-model*

UpdateSpace 授予权限以更新 Space 写入

space*

sagemaker:InstanceTypes

sagemaker:ImageArns

sagemaker:ImageVersionArns

sagemaker:OwnerUserProfileArn

sagemaker:SpaceSharingType

UpdateTrainingJob 授予权限以更新训练作业 Write

training-job*

sagemaker:InstanceTypes

sagemaker:KeepAlivePeriod

sagemaker:EnableRemoteDebug

UpdateTrial 授予权限以更新试用 Write

experiment-trial*

UpdateTrialComponent 授予权限以更新试用组件 写入

experiment-trial-component*

UpdateUserProfile 授予更新权限 UserProfile 写入

user-profile*

sagemaker:InstanceTypes

sagemaker:VpcSecurityGroupIds

sagemaker:InstanceTypes

sagemaker:DomainSharingOutputKmsKey

sagemaker:ImageArns

sagemaker:ImageVersionArns

UpdateWorkforce 授予权限以更新人力 Write

workforce*

UpdateWorkteam 授予权限以更新工作组 写入

workteam*

Amazon 定义的资源类型 SageMaker

以下资源类型是由该服务定义的,可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在表的最后一列。有关下表中各列的详细信息,请参阅资源类型表

资源类型 ARN 条件键
device arn:${Partition}:sagemaker:${Region}:${Account}:device-fleet/${DeviceFleetName}/device/${DeviceName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

device-fleet arn:${Partition}:sagemaker:${Region}:${Account}:device-fleet/${DeviceFleetName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

edge-packaging-job arn:${Partition}:sagemaker:${Region}:${Account}:edge-packaging-job/${EdgePackagingJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

edge-deployment-plan arn:${Partition}:sagemaker:${Region}:${Account}:edge-deployment/${EdgeDeploymentPlanName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

human-loop arn:${Partition}:sagemaker:${Region}:${Account}:human-loop/${HumanLoopName}
flow-definition arn:${Partition}:sagemaker:${Region}:${Account}:flow-definition/${FlowDefinitionName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

human-task-ui arn:${Partition}:sagemaker:${Region}:${Account}:human-task-ui/${HumanTaskUiName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

hub arn:${Partition}:sagemaker:${Region}:${Account}:hub/${HubName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

hub-content arn:${Partition}:sagemaker:${Region}:${Account}:hub-content/${HubName}/${HubContentType}/${HubContentName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

inference-recommendations-job arn:${Partition}:sagemaker:${Region}:${Account}:inference-recommendations-job/${InferenceRecommendationsJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

inference-experiment arn:${Partition}:sagemaker:${Region}:${Account}:inference-experiment/${InferenceExperimentName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

labeling-job arn:${Partition}:sagemaker:${Region}:${Account}:labeling-job/${LabelingJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

workteam arn:${Partition}:sagemaker:${Region}:${Account}:workteam/${WorkteamName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

workforce arn:${Partition}:sagemaker:${Region}:${Account}:workforce/${WorkforceName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

domain arn:${Partition}:sagemaker:${Region}:${Account}:domain/${DomainId}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

user-profile arn:${Partition}:sagemaker:${Region}:${Account}:user-profile/${DomainId}/${UserProfileName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

space arn:${Partition}:sagemaker:${Region}:${Account}:space/${DomainId}/${SpaceName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

app arn:${Partition}:sagemaker:${Region}:${Account}:app/${DomainId}/${UserProfileName}/${AppType}/${AppName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

app-image-config arn:${Partition}:sagemaker:${Region}:${Account}:app-image-config/${AppImageConfigName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

studio-lifecycle-config arn:${Partition}:sagemaker:${Region}:${Account}:studio-lifecycle-config/${StudioLifecycleConfigName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

notebook-instance arn:${Partition}:sagemaker:${Region}:${Account}:notebook-instance/${NotebookInstanceName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

notebook-instance-lifecycle-config arn:${Partition}:sagemaker:${Region}:${Account}:notebook-instance-lifecycle-config/${NotebookInstanceLifecycleConfigName}
code-repository arn:${Partition}:sagemaker:${Region}:${Account}:code-repository/${CodeRepositoryName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

image arn:${Partition}:sagemaker:${Region}:${Account}:image/${ImageName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

image-version arn:${Partition}:sagemaker:${Region}:${Account}:image-version/${ImageName}/${Version}
algorithm arn:${Partition}:sagemaker:${Region}:${Account}:algorithm/${AlgorithmName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

cluster arn:${Partition}:sagemaker:${Region}:${Account}:cluster/${ClusterId}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

training-job arn:${Partition}:sagemaker:${Region}:${Account}:training-job/${TrainingJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

processing-job arn:${Partition}:sagemaker:${Region}:${Account}:processing-job/${ProcessingJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

hyper-parameter-tuning-job arn:${Partition}:sagemaker:${Region}:${Account}:hyper-parameter-tuning-job/${HyperParameterTuningJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

project arn:${Partition}:sagemaker:${Region}:${Account}:project/${ProjectName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

model-package arn:${Partition}:sagemaker:${Region}:${Account}:model-package/${ModelPackageName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

model-package-group arn:${Partition}:sagemaker:${Region}:${Account}:model-package-group/${ModelPackageGroupName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

model arn:${Partition}:sagemaker:${Region}:${Account}:model/${ModelName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

endpoint-config arn:${Partition}:sagemaker:${Region}:${Account}:endpoint-config/${EndpointConfigName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

endpoint arn:${Partition}:sagemaker:${Region}:${Account}:endpoint/${EndpointName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

inference-component arn:${Partition}:sagemaker:${Region}:${Account}:inference-component/${InferenceComponentName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

transform-job arn:${Partition}:sagemaker:${Region}:${Account}:transform-job/${TransformJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

compilation-job arn:${Partition}:sagemaker:${Region}:${Account}:compilation-job/${CompilationJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

optimization-job arn:${Partition}:sagemaker:${Region}:${Account}:optimization-job/${OptimizationJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

automl-job arn:${Partition}:sagemaker:${Region}:${Account}:automl-job/${AutoMLJobJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

monitoring-schedule arn:${Partition}:sagemaker:${Region}:${Account}:monitoring-schedule/${MonitoringScheduleName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

monitoring-schedule-alert arn:${Partition}:sagemaker:${Region}:${Account}:monitoring-schedule/${MonitoringScheduleName}/alert/${MonitoringScheduleAlertName}
data-quality-job-definition arn:${Partition}:sagemaker:${Region}:${Account}:data-quality-job-definition/${DataQualityJobDefinitionName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

model-quality-job-definition arn:${Partition}:sagemaker:${Region}:${Account}:model-quality-job-definition/${ModelQualityJobDefinitionName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

model-bias-job-definition arn:${Partition}:sagemaker:${Region}:${Account}:model-bias-job-definition/${ModelBiasJobDefinitionName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

model-explainability-job-definition arn:${Partition}:sagemaker:${Region}:${Account}:model-explainability-job-definition/${ModelExplainabilityJobDefinitionName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

experiment arn:${Partition}:sagemaker:${Region}:${Account}:experiment/${ExperimentName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

experiment-trial arn:${Partition}:sagemaker:${Region}:${Account}:experiment-trial/${TrialName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

experiment-trial-component arn:${Partition}:sagemaker:${Region}:${Account}:experiment-trial-component/${TrialComponentName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

feature-group arn:${Partition}:sagemaker:${Region}:${Account}:feature-group/${FeatureGroupName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

pipeline arn:${Partition}:sagemaker:${Region}:${Account}:pipeline/${PipelineName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

pipeline-execution arn:${Partition}:sagemaker:${Region}:${Account}:pipeline/${PipelineName}/execution/${RandomString}
artifact arn:${Partition}:sagemaker:${Region}:${Account}:artifact/${HashOfArtifactSource}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

context arn:${Partition}:sagemaker:${Region}:${Account}:context/${ContextName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

action arn:${Partition}:sagemaker:${Region}:${Account}:action/${ActionName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

lineage-group arn:${Partition}:sagemaker:${Region}:${Account}:lineage-group/${LineageGroupName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

model-card arn:${Partition}:sagemaker:${Region}:${Account}:model-card/${ModelCardName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

model-card-export-job arn:${Partition}:sagemaker:${Region}:${Account}:model-card/${ModelCardName}/export-job/${ExportJobName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

shared-model arn:${Partition}:sagemaker:${Region}:${Account}:shared-model/${SharedModelId}
shared-model-event arn:${Partition}:sagemaker:${Region}:${Account}:shared-model-event/${EventId}
sagemaker-catalog arn:${Partition}:sagemaker:${Region}:${Account}:sagemaker-catalog/${ResourceCatalogName}
mlflow-tracking-server arn:${Partition}:sagemaker:${Region}:${Account}:mlflow-tracking-server/${MlflowTrackingServerName}

aws:ResourceTag/${TagKey}

sagemaker:ResourceTag/${TagKey}

Amazon 的条件密钥 SageMaker

Amazon SageMaker 定义了以下条件键,这些条件键可用于 IAM 策略的Condition元素。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息,请参阅条件键表

要查看适用于所有服务的全局条件键,请参阅可用的全局条件键

条件键 描述 类型
aws:RequestTag/${TagKey} 按用户向 SageMaker 服务发出的请求中存在的密钥筛选访问权限 String
aws:ResourceTag/${TagKey} 按标签键值对筛选访问 String
aws:TagKeys 按与请求中的资源关联的所有标签键名称的列表筛选访问 ArrayOfString
sagemaker:AcceleratorTypes 按所有与请求中的资源关联的加速器类型的列表筛选访问 ArrayOfString
sagemaker:AppNetworkAccessType 按与请求中的资源关联的应用程序网络访问权限类型筛选访问 String
sagemaker:CustomerMetadataProperties/${MetadataKey} 按元数据键和值对筛选访问 String
sagemaker:CustomerMetadataPropertiesToRemove 按与请求中的 model-package 资源关联的元数据属性列表筛选访问 ArrayOfString
sagemaker:DirectInternetAccess 按与请求中的资源关联的直接 Internet 访问筛选访问 String
sagemaker:DomainId 您可以使用 domainID 作为策略变量来筛选来自特定域的请求 SageMaker String
sagemaker:DomainSharingOutputKmsKey 按与请求中的资源关联的域共享输出 KMS 密钥筛选访问 ARN
sagemaker:EnableRemoteDebug 按请求中的远程调试配置筛选访问权限 布尔型
sagemaker:FeatureGroupDisableGlueTableCreation 通过与请求中的功能组资源关联的 DisableGlueTableCreation 标志筛选访问权限 布尔型
sagemaker:FeatureGroupEnableOnlineStore 按请求中与功能组关联的 EnableOnlineStore 标志筛选访问权限 布尔型
sagemaker:FeatureGroupOfflineStoreConfig 根据请求 OfflineStoreConfig 中是否存在功能组资源来筛选访问权限。此访问筛选条件仅支持空条件运算符 布尔型
sagemaker:FeatureGroupOfflineStoreKmsKey 按与请求中的功能组资源关联的离线存储 KMS 密钥筛选访问 ARN
sagemaker:FeatureGroupOfflineStoreS3Uri 按与请求中的功能组资源关联的离线存储 S3 URI 筛选访问 字符串
sagemaker:FeatureGroupOnlineStoreKmsKey 按与请求中的功能组资源关联的在线存储 KMS 密钥筛选访问 ARN
sagemaker:FileSystemAccessMode 按与请求中的资源关联的文件系统访问模式筛选访问 字符串
sagemaker:FileSystemDirectoryPath 按与请求中的资源关联的文件系统目录路径筛选访问 字符串
sagemaker:FileSystemId 按与请求中的资源关联的文件系统 ID 筛选访问 字符串
sagemaker:FileSystemType 按与请求中的资源关联的文件系统类型筛选访问 String
sagemaker:HomeEfsFileSystemKmsKey 按用户向 SageMaker 服务发出的请求中存在的密钥筛选访问权限。此密钥已弃用。它已被 sagemaker 所取代:VolumeKmsKey ARN
sagemaker:ImageArns 按与请求中的资源关联的所有映像 ARN 列表筛选访问 ArrayOfARN
sagemaker:ImageVersionArns 按与请求中的资源关联的所有映像版本 ARN 列表筛选访问 ArrayOfARN
sagemaker:InstanceTypes 按所有与请求中的资源关联的实例类型的列表筛选访问 ArrayOfString
sagemaker:InterContainerTrafficEncryption 按与请求中的资源关联的容器间流量加密筛选访问 Bool
sagemaker:KeepAlivePeriod 按与请求中的资源关联的保持活动期间筛选访问 数值
sagemaker:MaxRuntimeInSeconds 按与请求中的资源关联的最大运行时间(以秒为单位)筛选访问 数值
sagemaker:MinimumInstanceMetadataServiceVersion 按请求中的资源使用的最低实例元数据服务版本筛选访问 String
sagemaker:ModelApprovalStatus 按请求中的 model-package 的模型批准状态筛选访问权限 String
sagemaker:ModelArn 按与请求中的资源关联的模型 ARN 筛选访问 ARN
sagemaker:NetworkIsolation 按与请求中的资源关联的网络隔离筛选访问 Bool
sagemaker:OutputKmsKey 按与请求中的资源关联的输出 KMS 密钥筛选访问 ARN
sagemaker:OwnerUserProfileArn 按与请求中的空间关联的 OwnerUserProfile arn 筛选访问权限 ARN
sagemaker:ResourceTag/ 按附加到资源的标签键值对的前言字符串筛选访问 字符串
sagemaker:ResourceTag/${TagKey} 按标签键值对筛选访问 字符串
sagemaker:RootAccess 按与请求中的资源关联的根访问筛选访问 String
sagemaker:SearchVisibilityCondition/${FilterKey} 将搜索请求的结果限制在您可以访问的资源范围内。$ {FilterKey} 是 VisibilityConditions 配置在搜索请求中显示的密钥 String
sagemaker:ServerlessMaxConcurrency 通过限制请求中用于无服务器推理的最大并发数量来筛选访问 数值
sagemaker:ServerlessMemorySize 通过限制请求中用于无服务器推理的内存大小来筛选访问 数值
sagemaker:SpaceSharingType 按请求中的空间所关联的共享类型筛选访问权限 String
sagemaker:TaggingAction 按用户可以应用标签的 API 操作筛选访问权限。使用创建可标记资源的 API 操作的名称来筛选访问权限 String
sagemaker:TargetModel 按与请求中的多模型终端节点关联的目标模型筛选访问 String
sagemaker:UserProfileName 您可以使用 a UserProfileName s policy 变量来筛选来自 SageMaker 域内特定用户配置文件的请求。此上下文密钥不适用于共享空间内的用户个人资料 String
sagemaker:VolumeKmsKey 按与请求中的资源关联的卷 KMS 密钥筛选访问 ARN
sagemaker:VpcSecurityGroupIds 按与请求中的资源关联的所有 VPC 安全组 ID 的列表筛选访问 ArrayOfString
sagemaker:VpcSubnets 按与请求中的资源关联的所有 VPC 子网的列表筛选访问 ArrayOfString
sagemaker:WorkteamArn 按与请求关联的工作组 ARN 筛选访问 ARN
sagemaker:WorkteamType 按与请求关联的工作组类型筛选访问 这可以是 public-crowd、private-crowd 或 vendor-crowd String