Sagemaker 管道跨账户执行

Question

假设我在账户 A 中有一个 CodeBuild，我想通过在 CodeBuild 中调用 run_pipeline.py 脚本在账户 B 中执行 Sagemaker Pipeline。

CodeBuild 使用名为 CodeBuildExecRole 的角色，而为了执行 Sagemaker Pipeline，账户 B 中存在名为 SagemakerExecutionRole 的角色。

据我了解，为了实现这一点，我应该使用 run_pipeline.py 中的 SagemakerExecutionRole。 例如，在创建 SKLearnProcessor 时，我应该实现类似的东西：

sklearn_processor = SKLearnProcessor(
        framework_version="0.23-1",
        instance_type=processing_instance_type,
        instance_count=processing_instance_count,
        sagemaker_session=sagemaker_session,
        role= SagemakerExecutionRole,
    ) 

现在，由于这是一个跨账户方案，我应该在 CodeBuildExecRole 和 SagemakerExecutionRole 之间创建信任关系。 因此，我将在 SagemakerExecutionRole 中包含一个信任策略，如下所示：

SageMakerExecRole:
    Type: 'AWS::IAM::Role'
    Properties:
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              AWS: !Ref CodeBuildRoleAccountID
            Action:
              - sts:AssumeRole
      Path: /

其中 CodeBuildRoleAccountID 是 CodeBuildExecRole 所在账户的 AccountID。

我还应该包括与 CodeBuildExecRole 关联的 PassRole 策略，如下所示：

- PolicyName: PassInferencePipelineSagemakerExecutionRole
  PolicyDocument:
    Version: "2012-10-17"
    Statement:
      - Effect: Allow
        Action:
          - iam:PassRole
        Resource: '*'

但是，当我尝试执行 CodeBuild 时，我不断收到以下错误：

botocore.exceptions.ClientError：调用CreatePipeline操作时发生错误（ValidationException）：RoleArn：不允许跨账户传递角色。

我想我遗漏了一些东西，或者我应用的逻辑是错误的。