如何让 AWS SageMaker 可供组织外的人使用？

Question

我正在为组织外部的小组设置 SageMaker，想知道如何向这些用户提供对 SageMaker Studio（以及 SageMaker 将使用的任何相关 AWS 资源）的访问权限。 我们的想法是使用 SageMaker Studio 来训练和测试模型。

理想情况下，如果我只是向他们发送一个登录链接，然后被授予对从我的 AWS 账户托管的 SageMaker 的访问权限，那就太好了。

我相信要授予临时访问权限，我需要将角色附加到一组用户，并将策略附加到该组，他们最终将此角色与 SageMaker 相关联。 但是，我如何创建指向SageMaker 的链接，以便这些用户可以登录？

另一种选择是使用跨账户访问进行设置，因为我想授予访问权限的人也拥有自己的 AWS 账户。 但同样，如何生成一个链接以将这些用户定向到我 AWS 账户上的 SageMaker？

根据SageMaker Onboarding ，似乎有 2 个选项：

1. AWS SSO 身份验证

• 通过直接打开 Studio 的唯一登录 URL 访问 Studio
• 使用他们的 SSO 凭据登录
• 组织在 AWS SSO 而非 Studio 中管理成员
• 可以同时为多个成员分配对 Studio 的访问权限

2. 身份验证

• 通过 SageMaker 控制台登录
• 必须使用 Studio 控制面板手动添加和管理成员

我不明白第二种方法，因为这是否意味着用户无论如何都必须以 root 身份登录到控制台，然后才能拥有完全访问权限。 我可以编辑附加到 IAM 用户的策略，但这引出了另一个问题：

... SageMaker 是否预先制定了包含其依赖 AWS 服务的策略？ 例如，SageMaker 将使用 S3 进行存储，使用 EC2 进行处理； 我需要在策略中单独设置这些，还是可以简单地使用 SageMaker 策略，默认情况下将包含所有这些依赖项？

Answer 1

首先，您可以生成“一次性”（称为预签名）URL，可用于在没有任何 AWS 凭证的情况下访问 SageMaker Studio 用户配置文件。 这些 URl 的有效期最长为 5 分钟，并且可以通过单个 AWS API 调用生成。

为您的用户提供 Studio 访问权限的一种方法是设置一项服务，该服务可以对您的 Studio 用户进行身份验证，然后调用CreatePresignedDomainUrl SageMaker API方法将生成的预签名 URL 发回给用户。

或者，您也可以使用 AWS SSO，它可以为您完成大部分繁重的工作，尤其是当您想与单点登录服务集成时。 AWS SSO 与 SageMaker Studio 集成，您可以将 Studio 用户配置文件分配给您的入职用户。 然后，您的用户可以使用您的单点登录服务，并且无需登录 AWS 控制台即可启动 Studio。

另一种方法是使用 IAM 联合，您基本上可以在其中向您的用户提供对 AWS API 和/或控制台的访问权限，这些用户通过（外部）身份提供商进行身份验证。 联合用户可以承担特定角色以使用 AWS API 或管理控制台。 要访问 SageMaker Studio，用户只需拥有 CreatePresignedDomainUrl 访问策略，允许他们自己创建预签名 URL。 如果您想隔离您的 SageMaker 用户配置文件并确保每个联合用户只能访问分配给他们的用户配置文件，请参阅以下博客文章了解更多信息。

最后，请注意，一旦用户登录到 Studio，为特定用户配置文件配置的执行角色将决定 Studio 用户可以访问和能够执行的操作（例如启动 SageMaker 训练作业、部署模型、访问S3 等）。 因此，您无需为您的 IAM 用户或联合用户使用的角色设置这些策略。