SageMaker 특성 그룹을 생성할 때 발생하는 권한 문제를 해결하려면 어떻게 해야 합니까?

3분 분량

Amazon SageMaker 특성 그룹을 생성하려고 하는데 “AccessDenied” 오류가 발생합니다.

간략한 설명

SageMaker “AccessDenied” 오류는 AWS Identity and Access Management(IAM) 역할에 특성 그룹 생성 작업을 수행하기에 권한이 충분하지 않음을 나타냅니다.

실행 역할 권한에 다음 정보가 누락되거나 잘못 구성된 경우 “AccessDenied” 오류가 발생합니다.

AmazonSageMakerFeatureStoreAccess 정책 및 Amazon Simple Storage Service(Amazon S3) 버킷 이름 지정 요구 사항
AWS Lake Formation 권한
AWS Key Management Service(AWS KMS) 정책
Amazon S3 버킷 정책

해결 방법

참고: AWS Command Line Interface(AWS CLI) 명령 실행 시 오류가 발생하는 경우, AWS CLI 오류 문제 해결을 참고하세요. 또한 최신 AWS CLI 버전을 사용하고 있는지 확인하십시오.

특성 그룹을 생성할 때의 자세한 오류 메시지를 보려면 터미널에서 다음 명령을 실행한 다음 FailureReason을 확인합니다.

$ aws sagemaker describe-feature-group --feature-group-name nameofthefeaturegroup

AmazonSageMakerfeatureStoreAccess 정책 및 Amazon S3 버킷 이름 지정 요구 사항 누락

실행 역할에 AmazonSageMakerFeatureStore 정책이 없는 경우 먼저 실행 역할에 연결된 정책을 검토하십시오. 이후 AmazonSageMakerFeatureStoreAccess 정책을 연결합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetBucketAcl",
        "s3:PutObjectAcl"
      ],
      "Resource": [
        "arn:aws:s3:::*SageMaker*",
        "arn:aws:s3:::*Sagemaker*",
        "arn:aws:s3:::*sagemaker*"
      ]
    }
  ]
}

AmazonSageMakerFeatureStoreAccess 정책을 추가한 후 특성 그룹 생성이 실패하는 경우 버킷 이름에 “sagemaker”라는 단어가 있는지 확인하십시오. 이 이름 지정 규칙은 S3 버킷에 저장되는 Amazon 관리형 정책에 필요합니다.

Lake Formation 권한 누락

AWS Lake Formation 권한이 충분하지 않으면 특성 그룹 생성이 실패합니다. 특성 그룹을 생성할 때 AWS Glue 데이터베이스가 자동으로 생성됩니다. SageMaker를 사용하여 생성한 모든 특성 그룹은 이 AWS Glue 데이터베이스 내에 테이블로 생성됩니다.

실행 역할에 AWS Glue 데이터베이스를 생성할 권한이 있는지 확인합니다. 실행 역할에 권한이 없는 경우 다음 단계를 완료하십시오.

LakeFormation 콘솔을 엽니다.
왼쪽 사이드바에서 권한을 선택한 다음 데이터 권한을 선택합니다.
허용을 선택합니다.
보안 주체 드롭다운 목록에서 IAM 실행 역할을 선택한 다음 필요한 권한을 부여합니다.

참고: AWS Lake Formation의 경우 각 보안 주체(사용자 또는 역할)에 Lake Formation 관리형 리소스에서 작업을 수행할 수 있는 권한을 부여해야 합니다.

데이터베이스 권한 부여에 대한 자세한 내용은 계정과 공유되는 데이터베이스 또는 테이블 권한 부여를 참조하십시오.

AWS KMS 정책 누락

AWS KMS 정책이 누락되면 CreateFeatureGroup API 호출은 실패합니다. 이 문제를 확인하려면 실행 역할의 IAM 정책을 검토한 후 다음 정책이 연결되어 있는지 확인하십시오.

kms:GenerateDataKeykms:Decrypt
kms: Encrypt

AWS CLI 명령을 실행한 후 위 정책이 표시되지 않는 경우 정책을 연결하고 다시 시도하십시오.

S3 버킷 정책

“AccessDenied” 오류는 버킷에 대한 액세스를 막는 Amazon S3 버킷 정책으로 인해 발생합니다. S3 버킷 정책을 검토한 다음 특성 그룹을 생성하는 데 사용되는 실행 역할이 버킷에 액세스할 수 있어야 합니다.