Come posso modificare le autorizzazioni in modo che un utente o un ruolo IAM non possa configurare Amazon SageMaker Canvas?

Risoluzione

Per modificare le autorizzazioni in modo che un'identità IAM non sia autorizzata a configurare un'app SageMaker Canvas, crea una policy IAM che neghi le autorizzazioni.

Per collegare la policy IAM al ruolo di esecuzione di SageMaker, completa i seguenti passaggi:

1. Apri la console IAM.

2. Nel pannello di navigazione, scegli Policy.

3. Scegli Crea policy, quindi seleziona la scheda JSON.

4. Inserisci la seguente policy IAM nell'editor delle policy:

   {  "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowSageMakerCreateAppOperations",
         "Effect": "Allow",
         "Action": "sagemaker:CreateApp",
         "Resource": "*"
       },
       {
         "Sid": "DenySageMakerCanvasCreateApp",
         "Effect": "Deny",
         "Action": "sagemaker:CreateApp",
         "Resource": "arn:aws:sagemaker:example-region:1111222233334444:app/example-domain/example-user-name/Canvas/*"
       }
     ]
   }

   Nota: nella policy precedente, sostituisci example-region con la Regione AWS e 1111222233334444 con l'ID account AWS. Inoltre, sostituisci example-domain con l'ID dominio SageMaker Studio ed example-username con il nome del profilo utente SageMaker Studio.

5. Risolvi gli avvisi di sicurezza, gli errori o gli avvisi generali generati durante la convalida delle policy, quindi scegli Esamina la policy.

6. Scegli Successivo: Tag.

7. Nella pagina Esamina la policy, inserisci un nome e una descrizione opzionale per la policy.

8. Rivedi il riepilogo della policy, quindi scegli Crea policy.

9. Nell'elenco delle policy, seleziona la policy.

10. Seleziona la scheda Utilizzo della policy, quindi scegli Collega.

11. Dall'elenco degli utenti e dei ruoli IAM, seleziona il ruolo di esecuzione di SageMaker per l'utente Studio.

12. Scegli Collega policy.

Se l'utente IAM tenta di configurare un'app SageMaker Canvas dopo aver allegato la policy IAM, l'utente riceve il seguente errore:

"SageMaker is unable to use your associated ExecutionRole [SageMaker Studio User Execution Role] to create app. Verify that your associated ExecutionRole has permission for 'sagemaker:CreateApp'."