Credenciales para la conexión

Decida cómo desea configurar el acceso entre watsonx.governance y Amazon SageMaker. Puede utilizar un rol de cuenta cruzada o claves de acceso.

• Para utilizar una función de cuenta cruzada, consulte Creación de una función multicuenta.
• Para utilizar las teclas de acceso, consulte Configuración de las teclas de acceso.

Cuentas

Cada conexión a Amazon SageMaker se realiza a una cuenta que posee un registro de modelos centralizado. Puede conectarse a un máximo de diez cuentas diferentes, cada una con un modelo de registro. Para obtener más información sobre el uso de más de un registro de modelos central, consulte Guidance for Multi-Account Machine Learning Model Governance on AWS.

Entidades empresariales

Decida qué entidades empresariales desea utilizar. Necesita una entidad empresarial independiente para cada conexión de Amazon SageMaker que configure. Esta unidad económica debe estar en el nivel raíz y no ser hija de ninguna otra unidad económica. Sólo los casos de uso bajo la entidad empresarial configurada, junto con sus grupos de modelos y modelos asociados, se rigen por watsonx.governance y Amazon SageMaker.

La entidad de negocio es el padre de los casos de uso, pero no tiene por qué ser el padre principal. Puede utilizar la entidad empresarial para otros fines.

Los usuarios deben seleccionar la entidad de negocio cuando crean casos de uso. Asegúrese de que sus usuarios saben qué entidad empresarial deben utilizar. Además, asegúrese de que los aprobadores de casos de uso comprueban que la entidad empresarial está configurada correctamente antes de aprobar un caso de uso. Si la entidad empresarial no se configura correctamente antes de aprobar un caso de uso, el caso de uso y sus grupos de modelos y modelos hijos no se sincronizarán con Amazon SageMaker.

Por ejemplo, si un usuario selecciona un hijo de la entidad empresarial configurada y el caso de uso se aprueba, el trabajo de sincronización no sincroniza el caso de uso con Amazon SageMaker.

Para ayudar a los usuarios, utilice dominios de seguridad para darles acceso a las entidades empresariales específicas que necesiten.

Realice los pasos siguientes:

1. Para cada conexión, decida qué entidad empresarial utilizar. Si desea utilizar una nueva entidad empresarial, créela antes de configurar la conexión con Amazon SageMaker. Para crear una entidad de negocio, debe tener permisos administrativos.
2. En la consola Gobernanza, conceda a los usuarios acceso al dominio de seguridad de la entidad empresarial. Por ejemplo, cree un grupo, añada usuarios al grupo y, a continuación, asocie el grupo al dominio de seguridad de la entidad empresarial. Para más información, consulte Dominios de seguridad.

Perfil por defecto y usuario por defecto

Para cada conexión, se necesita un perfil por defecto y un usuario por defecto.

El perfil por defecto se utiliza para generar los enlaces pre-firmados en las vistas de tareas. Estos enlaces abren Amazon SageMaker utilizando el perfil por defecto. Otorgue al perfil predeterminado los derechos de acceso mínimos que necesitan los usuarios de gobernanza para obtener más información sobre grupos de modelos y modelos en Amazon SageMaker.

El enlace pre-firmado es válido durante cinco minutos. Transcurrido ese tiempo, los usuarios deben actualizar la vista de la tarea para regenerar el enlace.

El usuario por defecto se utiliza en los siguientes casos:

• Cuando un modelo no tiene un propietario asignado, el propietario del modelo se establece en este usuario por defecto.
• Cuando el propietario de un modelo no tiene una cuenta en la consola Gobernanza, el propietario del modelo se establece en este usuario por defecto.

Creación de una función multicuenta

Esta tarea es necesaria si desea utilizar una función de cuenta cruzada para integrar Amazon SageMaker con watsonx.governance. Para obtener más información, consulte Acceso a recursos de cuentas cruzadas en IAM.

Para configurar la función de cuentas cruzadas, siga estos pasos:

1. Generar un ID externo para la cuenta de AWS.
2. Adjunte las siguientes políticas al rol: AmazonSageMakerFullAccess y AmazonSQSFullAccess.
3. Añada el ID externo a la política de confianza del rol.

Configurar una clave de acceso

Realice esta tarea si desea utilizar claves de acceso para conectar Amazon SageMaker con watsonx.governance.

En AWS, configure una clave de acceso a largo plazo para la integración con watsonx.governance. Sus credenciales deben tener el siguiente acceso:

• Acceso programático a Simple Queue service (SQS)
• Acceso programático a las API de Amazon SageMaker
• Permisos para actualizar tarjetas modelo en Amazon SageMaker

Para obtener más información, consulte Credenciales de seguridad deAWS.

Configuración de una cola SQS

La integración utiliza una cola SQS para recibir notificaciones de cualquier cambio en los grupos de modelos y en los modelos.

Para cada conexión, configure una cola SQS en la cuenta.

Para configurar una cola SQS, siga estos pasos:

1. En la consola AWS, seleccione el servicio Simple Queue Service.
2. Haga clic en Crear cola.
3. Escriba un nombre para la cola y, a continuación, introduzca la siguiente información:
   • Tipo: FIFO
   • Tiempo de espera de visibilidad: 30 segundos
   • Periodo de conservación de mensajes: 4 días
   • Tamaño máximo del mensaje: 256 KB
   • Retraso en la entrega: 0
   • Tiempo de espera de recepción de mensajes: 0
4. En Configuración de la cola FIFO, active las siguientes opciones:
   • Deduplicación basada en contenidos
   • Cola FIFO de alto rendimiento

Se define la cola SQS. A continuación, configure una regla EventBridge.

Configuración de una regla EventBridge

Para configurar una regla EventBridge y añadir su cola SQS como destino, siga estos pasos:

1. En la consola AWS, seleccione el servicio Amazon EventBridge.
2. Pulse Crear regla.
3. Escriba un nombre para la regla y haga clic en Siguiente.
4. Para el origen del evento, haga clic en Otro.
5. Para el método de creación, haga clic en Patrón personalizado (editor JSON) y, a continuación, introduzca el siguiente JSON para Patrón de eventos:

   {
      "source": ["aws.sagemaker"],
      "detail-type": ["AWS API Call via CloudTrail"],
      "detail": {
       "eventSource": ["sagemaker.amazonaws.com"],
       "eventName": ["CreateModelPackage", "CreateModelPackageGroup"
       "DeleteModelPackage", "DeleteModelPackageGroup", "UpdateModelPackage"]
      }
   }
   

6. Pulse Siguiente.
7. Establezca como destino la cola SQS que ha creado.
8. Haga clic en Siguiente en las páginas restantes y, a continuación, en Crear regla.

Ahora tiene una regla EventBridge con su cola SQS como objetivo de la regla.