概要
AmazonSageMakerFullAccess を与えられた IAM ユーザは、SageMaker Studio の画面を開くと、Studio の全ユーザプロファイルを見てアクセスすることができます。これを特定のIAMユーザにしか開けないようにします。
例えば、IAMユーザ A には、Studio のユーザプロファイル X のみにアクセスを許可し、他のユーザプロファイル Y, Z にはアクセスを許可しないというものです。
IAM ユーザを準備します
ユーザを操作できる管理者権限でログインしておきましょう。
ひとまず AmazonSageMakerFullAccess を与えたIAMユーザを作成して、SageMaker に関しては、ある程度何でもできるユーザにしておきます。
まず IAM のユーザ画面にアクセスして、右上のボタンからユーザ追加
ユーザ名を適当に restricted-studio-user としました。user-A とか何でも構いません。コンソールからログインすることを想定して、AWSマネジメントコンソールへのアクセスにチェックを入れておきましょう。
次の画面で AmazonSageMakerFullAccess の権限を指定します。
できました！
SageMaker Studio のユーザプロファイル
先程作成した restricted-studio-user がアクセスする SageMaker Studio のユーザプロファイルを作成します。管理者権限のまま、Amazon SageMaker Studio の画面に移動します。まだ domain を作っていない場合は作成しましょう。
Studio 側のユーザプロファイルは restricted-userという名前にしました。実行ロールはこのユーザが Studio で使うロールです。 AmazonSageMakerFullAccess がついているロールなどを適当に作成してここで指定します。
しばらく待つと、restricted-userというユーザができあがります。
IAM ユーザの権限を絞って Studio へのアクセスを制限
先程作成したユーザプロファイル restricted-user のみを使えるようにします。具体的には、最初に作成した IAMユーザに以下の権限をつければOKです。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "sagemaker:CreatePresignedDomainUrl",
"NotResource": "arn:aws:sagemaker:(region):(account_id):user-profile/(domain_id)/(user_mame)"
},
{
"Effect": "Allow",
"Action": "sagemaker:CreatePresignedDomainUrl",
"Resource": "arn:aws:sagemaker:(region):(account_id):user-profile/(domain_id)/(user_mame)"
}
]
}
上の Deny は指定されたユーザープロファイル以外へのアクセスを禁止し、下の Allow は指定されたユーザープロファイルへのアクセスを許可します。上記では AmazonSageMakerFullAccessのポリシーが付与されていて、すべてのユーザープロファイルに対してアクセスが許可されているので Deny だけでも良いです。
Resource は、例えば、東京リージョン、アカウントID 123456789012、ドメインが d-XXXXXXxxxxxx, ユーザープロファイルが restricted-user なら以下のようになります。
arn:aws:sagemaker:ap-northeast-1:123456789012:user-profile/d-XXXXXXxxxxxx/restricted-user
ドメイン ID は Studio の以下の画面からも確認できます。
さて、IAM の画面に戻って、restricted-studio-user に上記のポリシーを追加します。IAM ユーザを選んだ画面で インラインポリシーの追加 を選びましょう。
上のタブで json を選んで作成したポリシーを貼り付けます。右下のボタンでポリシーの確認をして、その後、名前をつけて完了です。これで、IAMユーザ restricted-studio-user は Studio のユーザープロファイル restricted-user にしかアクセスできません。
試してみましょう
restricted-studio-user でログインしなおして Studio にアクセスします。AmazonSageMakerFullAccess の権限だと、コンソールの一部でエラーが出ますが、今回は問題ありません。許可されている restricted-user と許可されていない default-1629100323037を試してみます。
許可されている場合
問題なくアクセスできました。
許可されていない場合
権限がないのでエラーが出て、Studio の画面にアクセスできませんでした。
