IAM Identity Center（旧 AWS Single Sign-On）のユーザーを使って、SageMaker Studioにログインしてみる

hayashi.masaya

2022.11.16

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

こんにちは。大阪オフィスの林です。

IAM Identity Center（旧AWS Single Sign-On）のユーザーを使って、SageMaker Studioにログインする機会がありましたので手順をまとめておきたいと思います。
過去、下記のエントリでも紹介はされていましたが、UIも変わっていたため改めて試してみました。

やってみた

SageMakerのダッシュボードに移動し「今すぐ始める」を選択します。

「標準セットアップ」を選択し「SageMaker Domainをセットアップ」を選択します。※「高速セットアップ」はIAM Identity Centerの設定が出来ないのでIAM Identity Centerと連携する場合は「標準セットアップ」を選択してください。

「標準セットアップ」が選択されている状態で「設定」を選択します。

認証に「AWS IAM Identity Center」を選択し、ロールは「新しいロールの作成」で進めていきます。

なお、SageMaker Domainを作成するリージョンとIAM Identity Centerがセットアップされているリージョンが異なる場合は手順を進められませんのでご注意ください。

「新しいロールの作成」を選択後の画面です。予め作成しておいたS3バケットの名前を入力して「ロールの作成」を選択します。

ロールの作成が完了しました。

作成されたロールを見てみます。SageMakerに対するフルアクセス権限と、カスタムポリシーがアタッチされていました。

カスタムポリシーの詳細は下記です。指定したS3バケットに対するList/Get/Put/Deleteのアクションが記載されています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::sagemaker-xxxxxxxxxxxx"
            ]
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::sagemaker-xxxxxxxxxxxx/*"
            ]
        }
    ]
}

ネットワークの設定情報を選択し「次へ」を選択します。