SageMaker AI Studio でスケジュールされたノートブックジョブを実行しようとしたときに表示されるエラーをトラブルシューティングする方法を教えてください。

解決策

AccessDenied エラーのトラブルシューティング

スケジュールされたノートブックジョブを実行しようとすると、次の理由により "AccessDenied" エラーが表示されることがあります。

• 必要な AWS Identity and Access Management (IAM) ポリシーがない。
• 必要な Amazon Virtual Private Cloud (Amazon VPC) エンドポイントポリシーがない。
• リソースタグの例外がある。

IAM ポリシーの問題

基本の信頼関係が許可されるよう、ノートブックで IAM ロールに以下のポリシーがアタッチされていることを確認します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "sagemaker.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "events.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

IAM ロールに以下のアクセス許可があることを確認します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::*:role/*",
      "Condition": {
        "StringLike": {
          "iam:PassedToService": [
            "sagemaker.amazonaws.com",
            "events.amazonaws.com"
          ]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "events:TagResource",
        "events:DeleteRule",
        "events:PutTargets",
        "events:DescribeRule",
        "events:PutRule",
        "events:RemoveTargets",
        "events:DisableRule",
        "events:EnableRule"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/sagemaker:is-scheduling-notebook-job": "true"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:PutBucketVersioning",
        "s3:PutEncryptionConfiguration"
      ],
      "Resource": "arn:aws:s3:::sagemaker-automated-execution-*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "sagemaker:ListTags"
      ],
      "Resource": [
        "arn:aws:sagemaker:*:*:user-profile/*",
        "arn:aws:sagemaker:*:*:space/*",
        "arn:aws:sagemaker:*:*:training-job/*",
        "arn:aws:sagemaker:*:*:pipeline/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "sagemaker:AddTags"
      ],
      "Resource": [
        "arn:aws:sagemaker:*:*:training-job/*",
        "arn:aws:sagemaker:*:*:pipeline/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:CreateVpcEndpoint",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeRouteTables",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcEndpoints",
        "ec2:DescribeVpcs",
        "ecr:BatchCheckLayerAvailability",
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        "ecr:GetAuthorizationToken",
        "s3:ListBucket",
        "s3:GetBucketLocation",
        "s3:GetEncryptionConfiguration",
        "s3:PutObject",
        "s3:DeleteObject",
        "s3:GetObject",
        "sagemaker:DescribeDomain",
        "sagemaker:DescribeUserProfile",
        "sagemaker:DescribeSpace",
        "sagemaker:DescribeStudioLifecycleConfig",
        "sagemaker:DescribeImageVersion",
        "sagemaker:DescribeAppImageConfig",
        "sagemaker:CreateTrainingJob",
        "sagemaker:DescribeTrainingJob",
        "sagemaker:StopTrainingJob",
        "sagemaker:Search",
        "sagemaker:CreatePipeline",
        "sagemaker:DescribePipeline",
        "sagemaker:DeletePipeline",
        "sagemaker:StartPipelineExecution"
      ],
      "Resource": "*"
    }
  ]
}

詳細については、「AWS managed policies for SageMaker AI Notebooks (SageMaker AI ノートブックの AWS マネージドポリシー)」を参照してください。

VPC エンドポイントの問題

Amazon VPC エンドポイントからノートブックジョブを開始する場合は、エンドポイントの設定とポリシーを確認します。必要なステップを完了し、関連する AWS サービスエンドポイントのベストプラクティスに従っていることを確認します。

• Amazon Elastic Compute Cloud (Amazon EC2)
• Amazon EventBridge
• SageMaker AI
• Amazon Simple Storage Service (Amazon S3)

Amazon S3 VPC エンドポイントの場合、単一の AWS アカウントに制限されているエンドポイントに関連するエラーが表示されることがあります。例えば、次のポリシーは、ID 111122223333 のアカウントへのアクセスを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSpecificAccountsPermission",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "s3:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "s3:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}

この問題を解決するには、ユーザーのアクションに対して次の S3 バケットアクセスも許可する必要があります。

{
  "Action": [
    "s3:*"
  ],
  "Resource": [
    "arn:aws:s3:::sagemakerheadlessexecution-prod-*",
    "arn:aws:s3:::sagemakerheadlessexecution-prod-*/*"
  ],
  "Effect": "Allow",
  "Sid": "SCTASK14554266"
}

リソースタグの例外

IAM ポリシーに次のアクセス許可があることを確認します。

{
  "Effect": "Allow",
  "Action": [
    "events:TagResource",
    "events:DeleteRule",
    "events:PutTargets",
    "events:DescribeRule",
    "events:PutRule",
    "events:RemoveTargets",
    "events:DisableRule",
    "events:EnableRule"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:ResourceTag/sagemaker:is-scheduling-notebook-job": "true"
    }
  }
}

UI エラーのトラブルシューティング

ノートブックジョブを作成、記述、更新、停止、または削除しようとすると、UI エラーが発生することがあります。ジョブ定義 (スケジュールされたジョブ) を使用する場合も、このエラーが表示されることがあります。トラブルシューティングを行うには、UI に表示されるエラーメッセージを確認してください。このメッセージには、問題を解決するための指示や推奨アクションが含まれている場合があります。

エラーを解決できない場合は、次の手順を実行してください。

1. エラーのスクリーンショットを撮り、画像ファイルとして保存します。
2. UI エラーが発生したときにネットワークトラフィックをキャプチャする HTTP アーカイブ (HAR) ファイルを作成します。
3. SageMaker AI Studio Jupyter サーバーターミナルを開きます。[ファイル]、[新規]、[ターミナル] を選択します。
4. /var/log/apps/app_container.log のログをチェックして、UI エラー発生時の例外、エラー、または警告を確認します。
5. AWS サポートに問い合わせる。お問い合わせには、エラーのスクリーンショット、app_container.log、HAR ファイルを添付してください。