Como modifico as permissões para que um usuário ou perfil do IAM não possa configurar o Amazon SageMaker Canvas?

Resolução

Para modificar as permissões para que uma identidade do IAM não tenha permissão para configurar uma aplicação do SageMaker Canvas, crie uma política do IAM que negue as permissões.

Para anexar a política do IAM ao perfil de execução do SageMaker, conclua as seguintes etapas:

1. Abra o console do IAM.

2. No painel de navegação, selecione Políticas.

3. Escolha Criar política e, em seguida, escolha a guia JSON.

4. Insira a seguinte política do IAM no editor de políticas:

   {  "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowSageMakerCreateAppOperations",
         "Effect": "Allow",
         "Action": "sagemaker:CreateApp",
         "Resource": "*"
       },
       {
         "Sid": "DenySageMakerCanvasCreateApp",
         "Effect": "Deny",
         "Action": "sagemaker:CreateApp",
         "Resource": "arn:aws:sagemaker:example-region:1111222233334444:app/example-domain/example-user-name/Canvas/*"
       }
     ]
   }

   Observação: Na política anterior, substitua example-region pela sua região AWS e 1111222233334444 pelo ID da sua conta da AWS. Além disso, substitua example-domain pelo seu ID de domínio do SageMaker Studio e example-username pelo nome do seu perfil de usuário do SageMaker Studio.

5. Resolva avisos de segurança, erros ou avisos gerais gerados durante a validação da política e, em seguida, escolha Revisar política.

6. Selecione Avançar: etiquetas.

7. Na página Revisar política, insira um nome e uma descrição opcional para a política.

8. Revise o resumo da política e escolha Criar política.

9. Na lista de políticas, selecione sua política.

10. Escolha a guia Uso da política e depois escolha Anexar.

11. Na lista de usuários e perfis do IAM, selecione o perfil de execução do SageMaker para o usuário do Studio.

12. Escolha Anexar política.

Se o usuário do IAM tentar configurar uma aplicação do SageMaker Canvas depois de anexar a política do IAM, o usuário receberá o seguinte erro:

“O SageMaker não consegue usar seu ExecutionRole\ [SageMaker Studio User Execution Role] associado para criar a aplicação. Verifique se seu ExecutionRole associado tem permissão para 'SageMaker:CreateApp'.”