Informations d'identification pour la connexion

Décidez de la manière dont vous souhaitez configurer l'accès entre watsonx.governance et Amazon SageMaker. Vous pouvez utiliser un rôle ou des clés d'accès inter-comptes.

• Pour utiliser un rôle de compte croisé, voir Configuration d'un rôle de compte croisé.
• Pour utiliser les touches d'accès, voir Configuration des touches d'accès.

Comptes

Chaque connexion à Amazon SageMaker se fait vers un compte qui possède un registre de modèles centralisé. Vous pouvez vous connecter à un maximum de dix comptes différents, chacun avec un modèle de registre. Pour plus d'informations sur l'utilisation de plusieurs registres de modèles centraux, voir Guidance for Multi-Account Machine Learning Model Governance on AWS.

Entités métier

Décidez des entités commerciales que vous souhaitez utiliser. Vous devez créer une entité commerciale distincte pour chaque connexion Amazon SageMaker que vous configurez. Cette entité commerciale doit se situer au niveau de la racine et n'être l'enfant d'aucune autre entité commerciale. Seuls les cas d'utilisation sous l'entité commerciale configurée, ainsi que leurs groupes de modèles et modèles associés, sont régis par watsonx.governance et Amazon SageMaker.

L'entité économique est le parent des cas d'utilisation, mais elle n'a pas besoin d'être le parent principal. Vous pouvez utiliser l'entité commerciale à d'autres fins.

Les utilisateurs doivent sélectionner l'entité commerciale lorsqu'ils créent des cas d'utilisation. Veillez à ce que vos utilisateurs sachent quelle entité commerciale utiliser. Assurez-vous également que les personnes chargées d'approuver les cas d'utilisation vérifient que l'entité commerciale est correctement définie avant d'approuver un cas d'utilisation. Si l'entité métier n'est pas correctement définie avant l'approbation d'un cas d'utilisation, le cas d'utilisation et ses groupes de modèles et modèles enfants ne seront pas synchronisés avec Amazon SageMaker.

Par exemple, si un utilisateur sélectionne un enfant de l'unité économique que vous avez configurée et que le cas d'utilisation est approuvé, la tâche de synchronisation ne synchronise pas le cas d'utilisation avec Amazon SageMaker.

Pour aider les utilisateurs, utilisez des domaines de sécurité pour leur donner accès aux entités commerciales spécifiques dont ils ont besoin.

Effectuez les étapes suivantes :

1. Pour chaque connexion, décidez de l'unité économique à utiliser. Si vous souhaitez utiliser une nouvelle entité commerciale, créez-la avant de configurer la connexion à Amazon SageMaker. Pour créer une entité commerciale, vous devez disposer d'autorisations administratives.
2. Dans la console de gouvernance, donnez aux utilisateurs l'accès au domaine de sécurité de l'entité commerciale. Par exemple, créez un groupe, ajoutez des utilisateurs au groupe, puis associez le groupe au domaine de sécurité de l'entité commerciale. Pour plus d'informations, voir Domaines de sécurité.

Profil et utilisateur par défaut

Pour chaque connexion, vous avez besoin d'un profil et d'un utilisateur par défaut.

Le profil par défaut est utilisé pour générer les liens pré-signés dans les vues de tâches. Ces liens ouvrent Amazon SageMaker en utilisant le profil par défaut. Donnez au profil par défaut les droits d'accès minimums nécessaires aux utilisateurs de la gouvernance pour obtenir plus d'informations sur les groupes de modèles et les modèles dans Amazon SageMaker.

Le lien pré-signé est valable pendant cinq minutes. Après cette période, les utilisateurs doivent rafraîchir la vue de la tâche pour régénérer le lien.

L'utilisateur par défaut est utilisé dans les cas suivants :

• Lorsqu'un modèle n'a pas de propriétaire assigné, le propriétaire du modèle est défini comme cet utilisateur par défaut.
• Lorsque le propriétaire d'un modèle n'a pas de compte dans la console de gouvernance, le propriétaire du modèle est défini comme cet utilisateur par défaut.

Mise en place d'un rôle inter-comptes

Cette tâche est nécessaire si vous souhaitez utiliser un rôle inter-comptes pour intégrer Amazon SageMaker à watsonx.governance Pour plus d'informations, voir Accès aux ressources des comptes croisés dans IAM.

Pour configurer le rôle de compte croisé, procédez comme suit :

1. Générer un identifiant externe pour le compte AWS.
2. Attachez les politiques suivantes au rôle : AmazonSageMakerFullAccess et AmazonSQSFullAccess.
3. Ajoutez l'ID externe à la politique de confiance du rôle.

Mise en place d'une clé d'accès

Effectuez cette tâche si vous souhaitez utiliser des clés d'accès pour connecter Amazon SageMaker à watsonx.governance

Dans AWS, configurez une clé d'accès à long terme pour l'intégration avec watsonx.governance Vos informations d'identification doivent avoir les accès suivants :

• Accès programmatique à Simple Queue Service (SQS)
• Accès programmatique aux API d'Amazon SageMaker
• Autorisations pour la mise à jour des fiches modèles dans Amazon SageMaker

Pour plus d'informations, voir les informations d'identification de sécuritéAWS.

Mise en place d'une file d'attente SQS

L'intégration utilise une file d'attente SQS pour recevoir des notifications en cas de modification des groupes de modèles et des modèles.

Pour chaque connexion, configurez une file d'attente SQS dans le compte.

Pour configurer une file d'attente SQS, procédez comme suit :

1. Dans la console AWS, sélectionnez le service Simple Queue.
2. Cliquez sur Créer une file d'attente.
3. Saisissez un nom pour la file d'attente, puis entrez les informations suivantes :
   • Type: FIFO
   • Délai de visibilité: 30 secondes
   • Période de conservation des messages: 4 jours
   • Taille maximale du message: 256 KB
   • Délai de livraison: 0
   • Temps d'attente pour la réception d'un message: 0
4. Sous Paramètres de la file d'attente FIFO, activez les options suivantes :
   • Déduplication basée sur le contenu
   • File d'attente FIFO à haut débit

La file d'attente SQS est définie. Ensuite, configurez une règle EventBridge.

Mise en place d'une règle EventBridge

Pour configurer une règle EventBridge et ajouter votre file d'attente SQS comme cible, procédez comme suit :

1. Dans la console AWS, sélectionnez le service Amazon EventBridge.
2. Cliquez sur Créer une règle.
3. Saisissez un nom pour la règle, puis cliquez sur Suivant.
4. Pour la source de l'événement, cliquez sur Autre.
5. Pour la méthode de création, cliquez sur Modèle personnalisé (éditeur JSON), puis saisissez le JSON suivant pour le modèle d'événement :

   {
      "source": ["aws.sagemaker"],
      "detail-type": ["AWS API Call via CloudTrail"],
      "detail": {
       "eventSource": ["sagemaker.amazonaws.com"],
       "eventName": ["CreateModelPackage", "CreateModelPackageGroup"
       "DeleteModelPackage", "DeleteModelPackageGroup", "UpdateModelPackage"]
      }
   }
   

6. Cliquez sur Suivant.
7. Définissez la cible sur la file d'attente SQS que vous avez créée.
8. Cliquez sur Suivant dans les pages restantes, puis sur Créer une règle.

Vous avez maintenant une règle EventBridge avec votre file d'attente SQS comme cible de la règle.