Habilite el acceso de inicio de sesión único a Amazon SageMaker Canvas con AWS IAM Identity Center: Parte 2

Amazon SageMaker Canvas le permite generar predicciones mediante aprendizaje automático (ML) sin escribir código. Para ello, cubre el flujo de trabajo de aprendizaje automático de un extremo a otro: ya sea que esté buscando una potente preparación de datos y AutoML, aprovisionamiento de puntos finales administrado, capacidades MLOps simplificadas o la capacidad de configurar modelos base para IA generativa, SageMaker Canvas puede ayudarlo a lograrlo. son tus objetivos.

Para permitir agilidad para sus usuarios y al mismo tiempo garantizar entornos seguros, puede introducir el inicio de sesión único (SSO) con AWS IAM Identity Center, el servicio de AWS recomendado para administrar el acceso de los usuarios a los recursos de AWS. Con IAM Identity Center, puede crear o conectar usuarios de la fuerza laboral y administrar de manera centralizada su acceso a todas sus cuentas y aplicaciones de AWS.

La parte 1 de esta serie describe los pasos necesarios para configurar SSO para SageMaker Canvas mediante IAM Identity Center para Amazon SageMaker Studio Classic.

En esta publicación, lo guiaremos a través de los pasos necesarios para configurar SSO para SageMaker Canvas utilizando el Centro de identidad de IAM para Amazon SageMaker Studio actualizado. Sus usuarios pueden acceder sin problemas a SageMaker Canvas utilizando sus credenciales de IAM Identity Center sin necesidad de utilizar primero la Consola de administración de AWS. También mostramos cómo puede optimizar la gestión de usuarios con IAM Identity Center.

Descripción general de la solución

Para configurar SSO a través de IAM Identity Center, debe completar los siguientes pasos:

1. Habilite IAM Identity Center con AWS Organizations
2. Cree un dominio de SageMaker Studio que utilice IAM Identity Center para la autenticación de usuarios
3. Crear usuarios o grupos en IAM Identity Center
4. Agregar usuarios o grupos al dominio de SageMaker Studio

También mostramos cómo cambiar el nombre de la aplicación SageMaker Studio para identificarla de forma única como SageMaker Canvas y cómo acceder a ella a través de IAM Identity Center.

Habilitar el Centro de identidad de IAM

Siga estos pasos para conectar SageMaker Canvas a IAM Identity Center:

1. En la consola de IAM Identity Center, seleccione Activar.
2. Elegir Habilítelo con AWS Organizations.
   
3. Elegir Editar para agregar un nombre de instancia.
   
4. Ingrese un nombre para su instancia (para esta publicación, «aplicación de lienzo»).
5. Elegir guardar cambios.

Cree el dominio de SageMaker Studio

En esta sección, crearemos un dominio de SageMaker Studio y configuraremos el método de autenticación como IAM Identity Center. Complete los siguientes pasos:

1. Seleccione en la consola de SageMaker Dominios.
2. Elegir Crear dominio.
   
3. Elegir Configurado para organizaciones.
4. Elegir Configuración.
   
5. Ingrese un nombre de dominio de su elección (para esta publicación canvas-domain).
6. Elegir Próximo.
   
7. Elegir Centro de identidad de AWS.
   
8. Elegir Crear un nuevo rol.
9. Seleccione los permisos de SageMaker Canvas que desea otorgar.

Para obtener más detalles sobre los permisos, consulte Usuarios y actividades de ML.

10. Especifique uno o más depósitos de Amazon Simple Storage Service (Amazon S3).
11. Elegir Próximo.
    
12. Elegir Estudio SageMaker – Nuevo.
    
13. Elegir Próximo.
    

A continuación, puede especificar los detalles de VPC para la configuración de su red.

14. Para este post seleccionamos Acceso público a Internet.
    
15. Elija su VPC, subredes y grupos de seguridad.
16. Elegir Próximo.
    
17. Mantenga la configuración de almacenamiento predeterminada y elija Próximo.
    
18. Elegir Entregar.
    

Espere a que cambie el estado del dominio de SageMaker En servicio.

Cambiar el nombre de la aplicación SageMaker Studio

Antes de crear un usuario, cambiemos el nombre de la aplicación SageMaker Studio. Esto permite a los usuarios identificar rápidamente la aplicación SageMaker Canvas al iniciar sesión a través del IAM Identity Center, donde pueden tener acceso a múltiples aplicaciones.

1. En la consola de IAM Identity Center, seleccione Aplicaciones.
2. Seleccione la aplicación SageMaker Studio AWS administrado Pestaña.
   
3. Elegir Editar detalles sobre el Comportamiento Menú.
   
4. Para nombre para mostraringresa un nombre (para esta publicación, Canvas).
5. Para Descripciónintroduzca una descripción.
6. Elegir guardar cambios.
   

Crear un usuario en el Centro de identidad de IAM

Ahora puede crear usuarios y, opcionalmente, grupos a los que se les otorgará acceso a SageMaker Canvas. Para esta publicación, crearemos un usuario único para demostrar el proceso de proporcionar acceso. Sin embargo, normalmente se prefieren los grupos para una mejor gestión de usuarios y para proporcionar acceso en las organizaciones.

Un grupo de usuarios es una colección de usuarios. Los grupos le permiten establecer permisos para múltiples usuarios, lo que facilita la administración de permisos para esos usuarios. Por ejemplo, puede configurar un grupo de usuarios llamado «Analistas de negocios» y otorgarle permiso a ese grupo de usuarios para SageMaker Canvas. Todos los usuarios de este grupo tienen acceso a SageMaker Canvas. Cuando un nuevo usuario se une a su organización y necesita acceso a SageMaker Canvas, puede agregar el usuario al grupo de analistas de negocios. Cuando una persona cambia de trabajo en su organización, puede eliminarla de los grupos de usuarios antiguos y agregarla a los nuevos grupos de usuarios apropiados en lugar de editar los permisos de ese usuario.

Para crear un usuario en IAM Identity Center y probar el acceso a la aplicación SageMaker Canvas, complete los siguientes pasos:

1. En la consola de IAM Identity Center, seleccione usuario en el área de navegación.
2. Elegir agregar usuario.
   
3. Proporcione los detalles requeridos, como nombre de usuario, dirección de correo electrónico, nombre y apellido.
   
4. Elegir Próximo.
   
5. Elegir agregar usuario.
   

Verá un mensaje de éxito indicando que el usuario se agregó correctamente.

Agregar usuarios al dominio de SageMaker Studio

Debe agregar este usuario al dominio de SageMaker que creó. Si usa grupos, agregue el grupo, no solo un usuario individual.

1. Seleccione en la consola de SageMaker Dominios en el área de navegación.
2. Seleccione el dominio que creó.
   
3. Elegir Asignar usuarios y grupos.
   
4. Sobre el usuario En la pestaña, seleccione el usuario que creó.
5. Elegir Asignar usuarios y grupos.
   

Acceda a la aplicación SageMaker Canvas desde IAM Identity Center

El usuario recibe un correo electrónico con un enlace para configurar una contraseña e instrucciones para conectarse al portal de acceso de AWS. El enlace es válido por hasta 7 días.

Cuando el usuario recibe el correo electrónico, debe completar los siguientes pasos para obtener acceso a SageMaker Canvas:

1. Elegir Acepta la invitación desde el correo electrónico.

2. Establezca una nueva contraseña para acceder a SageMaker Canvas en la cuenta y el dominio especificados.
   

Una vez completada la autenticación, el usuario tiene tres opciones para iniciar sesión en SageMaker Canvas:

• Opción 1 – Se accede desde SageMaker Studio a través del portal IAM Identity Center
• opcion 2 – Acceda a SageMaker Canvas a través del portal IAM Identity Center, sin pasar por SageMaker Studio
• Opción 3 – Utilice el enlace del portal de IAM Identity Center en IAM Identity Center para acceder a SageMaker Canvas

En esta sección, analizaremos cada una de estas opciones.

Opción 1

En la primera opción, el usuario primero accede a SageMaker Studio para acceder a SageMaker Canvas. Esta opción es adecuada para usuarios que desean poder acceder a todas las aplicaciones relevantes desde SageMaker Studio, incluido SageMaker Canvas.

1. Navegue hasta la URL del portal de acceso de AWS en su correo electrónico.

2. Inicie sesión con las credenciales que configuró para el usuario.

Verá el nombre de la aplicación que configuró previamente.

3. Seleccione la aplicación SageMaker Canvas.
   

Serás redirigido a SageMaker Studio.

4. Elegir Ejecutar lienzo.
   
5. Elegir lienzo abierto.
   

Serás redirigido a SageMaker Canvas.

opcion 2

Con esta opción, el usuario aún pasa por el portal de IAM Identity Center, pero omite SageMaker Studio para ir directamente a SageMaker Canvas. Esta opción debe usarse cuando no se requiere acceso a SageMaker Studio, ya que el usuario siempre será redirigido directamente a SageMaker Canvas a través de su inicio de sesión en SageMaker.

1. Seleccione en la consola de SageMaker Dominios en el área de navegación.
2. Tenga en cuenta el ID del dominio de SageMaker.
   
3. Abra AWS CloudShell u otra CLI y ejecute el siguiente comando, especificando su ID de dominio. Este comando actualiza la aplicación de inicio de dominio predeterminada de SageMaker desde SageMaker Studio a SageMaker Canvas:

   aws sagemaker update-domain --domain-id <SAGEMAKER DOMAIN ID> --default-user-settings '{"DefaultLandingUri":"app:Canvas:models","StudioWebPortal":"DISABLED"}'

Si el comando se ejecuta correctamente, verá la siguiente respuesta.

4. Navegue hasta la URL del portal de acceso de AWS en su correo electrónico.
5. Inicie sesión con las credenciales que configuró para el usuario.
6. Seleccione la aplicación SageMaker Canvas.

Esta vez será redirigido a SageMaker Canvas, sin pasar por SageMaker Studio.

Opción 3

Si la aplicación de inicio predeterminada para el dominio de SageMaker se actualizó de SageMaker Studio a SageMaker Canvas en la Opción 2, un usuario también puede usar el enlace del portal de IAM Identity Center para acceder a SageMaker Canvas. Para hacer esto, seleccione la URL del portal de acceso de AWS que aparece en el origen de identidad en la consola de IAM Identity Center. Puede utilizar esta URL como marcador del navegador o integrarla en su aplicación personalizada para obtener acceso directo a SageMaker Canvas.

Limpiar

Para evitar cargos por sesiones futuras, cierre sesión en SageMaker Canvas.

Diploma

En esta publicación, analizamos cómo los usuarios pueden acceder de forma segura a SageMaker Canvas mediante SSO. Para hacer esto, configuramos IAM Identity Center y lo vinculamos al dominio de SageMaker donde se utiliza SageMaker Canvas. Los usuarios ahora están a solo un clic de usar SageMaker Canvas y resolver nuevos desafíos con ML sin código. Este enfoque respalda las necesidades de entornos seguros de los equipos de seguridad e ingeniería de la nube y, al mismo tiempo, permite agilidad e independencia para los equipos de desarrollo.

Para obtener más información sobre SageMaker Canvas, consulte Anuncio de Amazon SageMaker Canvas: una capacidad de aprendizaje automático visual sin código para analistas de negocios. SageMaker Canvas también permite la colaboración con equipos de ciencia de datos. Para obtener más información, consulte Crear, compartir e implementar: cómo los analistas de negocios y científicos de datos logran un tiempo de comercialización más rápido con aprendizaje automático sin código y Amazon SageMaker Canvas. Para los administradores de TI, recomendamos leer Configuración y administración de Amazon SageMaker Canvas (para administradores de TI).

---

Sobre los autores

Dhiraj Thakur es arquitecto de soluciones en Amazon Web Services. Trabaja con clientes y socios de AWS para brindarles asesoramiento sobre la adopción, migración y estrategia de la nube empresarial. Le apasiona la tecnología y le gusta construir y experimentar en las áreas de análisis e IA/ML.

Dan Sinnreich es gerente senior de productos en AWS y ayuda a democratizar el aprendizaje automático con innovaciones de código bajo o sin código. Antes de AWS, Dan desarrolló y comercializó plataformas SaaS y modelos de riesgo de series temporales utilizados por inversores institucionales para gestionar el riesgo y optimizar las carteras de inversión. Fuera del trabajo, juega hockey, bucea y lee ciencia ficción.