【问题标题】：SageMaker - What IAM Permission to specify for ECR?SageMaker - 为 ECR 指定什么 IAM 权限？
【发布时间】：2020-07-07 20:02:02
【问题描述】：

问题

这是 SageMaker 在 us-west-1 区域中使用 Amazon SageMaker built-in algorithms 的 XGBoost 所需的 ECR IAM 权限吗？

"Effect": "Allow",
"Action": [
  "ecr:GetAuthorizationToken",
  "ecr:BatchCheckLayerAvailability",
  "ecr:GetDownloadUrlForLayer",
  "ecr:BatchGetImage"
],
"Resource": [
  "arn:aws:ecr:us-west-1:632365934929:repository/632365934929.dkr.ecr.us-west-1.amazonaws.com/xgboost:1"
]

背景

AWS 文档 Amazon SageMaker Roles 要求指定 CreateTrainingJob API 的 TrainingImage 值。

Scope ecr permissions as follows:
- Scope to the AlgorithmSpecification.TrainingImage value that you specify in a CreateTrainingJob request.
- Scope to the PrimaryContainer.Image value that you specify in a CreateModel request:


"Effect": "Allow",
"Action": [
  "ecr:BatchCheckLayerAvailability",
  "ecr:GetDownloadUrlForLayer",
  "ecr:BatchGetImage"
],
"Resource": [
  "arn:aws:ecr:::repository/my-repo1",
  "arn:aws:ecr:::repository/my-repo2",
  "arn:aws:ecr:::repository/my-repo3"
]

AWS SageMaker API 文档 TrainingImage 告诉指定算法 docker image registry path 作为值。

TrainingImage

包含训练的 Docker 映像的注册表路径 算法。有关内置的 docker 注册表路径的信息算法，请参阅 Amazon SageMaker 提供的算法：常用参数。 Amazon SageMaker 支持 registry/repository[:tag] 和 registry/repository[@digest] 图像路径格式。

AWS文档Common parameters for built-in algorithms表示XGBoost注册路径为632365934929.dkr.ecr.us-west-1.amazonaws.com/xgboost:1。

|算法名称|训练图像和推理图像注册表路径|
|XGBoost | ecr_path/xgboost:tag|

ecr_path（算法：BlazingText、...、Seq2Seq 和 XGBoost (0.72)
|我们-西-1 | 632365934929.dkr.ecr.us-west-1.amazonaws.com |

对于训练图像和推理图像注册表路径列，使用 :1 版本标记，以确保您使用的是稳定版本的算法。您可以在具有 :1 标签的推理图像上可靠地托管使用带有 :1 标签的图像训练的模型。

【问题讨论】：

标签： amazon-web-services amazon-iam amazon-sagemaker

【解决方案1】：

根据页面https://docs.aws.amazon.com/sagemaker/latest/dg/sagemaker-algo-docker-registry-paths.html上的注释

For XGBoost, do not use :latest or :1. Use the specific version you require, such as :0.90-1-cpu-py3, :0.90-2-cpu-py3, :1.0-1-cpu-py3, or :1.2-1.

【讨论】：