Wie ändere ich Berechtigungen, sodass ein IAM-Benutzer oder eine IAM-Rolle Amazon SageMaker Canvas nicht einrichten kann?

Lösung

Um Berechtigungen so zu ändern, dass eine IAM-Identität keine SageMaker Canvas-App einrichten darf, erstelle eine IAM-Richtlinie, die die Berechtigungen verweigert.

Gehe wie folgt vor, um die IAM-Richtlinie an die SageMaker-Ausführungsrolle anzufügen:

1. Öffne die IAM-Konsole.

2. Wähle im Navigationsbereich Richtlinien aus.

3. Wähle Richtlinie erstellen und dann die Registerkarte JSON aus.

4. Gib die folgende IAM-Richtlinie in den Richtlinien-Editor ein:

   {  "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowSageMakerCreateAppOperations",
         "Effect": "Allow",
         "Action": "sagemaker:CreateApp",
         "Resource": "*"
       },
       {
         "Sid": "DenySageMakerCanvasCreateApp",
         "Effect": "Deny",
         "Action": "sagemaker:CreateApp",
         "Resource": "arn:aws:sagemaker:example-region:1111222233334444:app/example-domain/example-user-name/Canvas/*"
       }
     ]
   }

   Hinweis: Ersetze in der vorherigen Richtlinie example-region durch deine AWS-Region und 1111222233334444 durch deine AWS-Konto-ID. Ersetze außerdem example-domain durch deine SageMaker Studio-Domain-ID und example-user-name durch deinen SageMaker Studio-Benutzerprofilnamen.

5. Behebe Sicherheitswarnungen, Fehler oder allgemeine Warnungen, die während der Richtlinienvalidierung generiert wurden, und wähle dann Richtlinie überprüfen aus.

6. Wähle Weiter: Tags.

7. Gib auf der Seite Richtlinie überprüfen einen Namen und eine optionale Beschreibung für die Richtlinie ein.

8. Prüfe die Richtlinienzusammenfassung und wähle dann Richtlinie erstellen aus.

9. Wähle in der Liste der Richtlinien deine Richtlinie aus.

10. Wähle die Registerkarte Policy usage (Richtliniennutzung) und dann Anfügen.

11. Wähle aus der Liste der IAM-Benutzer und -Rollen die SageMaker-Ausführungsrolle für den Studio-Benutzer aus.

12. Wähle Richtlinie anfügen.

Wenn der IAM-Benutzer versucht, eine SageMaker Canvas-App einzurichten, nachdem du die IAM-Richtlinie angefügt hast, erhält der Benutzer die folgende Fehlermeldung:

„SageMaker is unable to use your associated ExecutionRole [SageMaker Studio User Execution Role] to create app. Verify that your associated ExecutionRole has permission for 'sagemaker:CreateApp'.“