Neptune ML报错Unable to determine the Neptune ML IAM Role的解决与调试

问题核心 #

报错ERROR:root:Unable to determine the Neptune ML IAM Role的本质是代码无法自动定位具备Neptune ML权限的IAM角色，常见诱因包括角色配置不规范、权限边界限制、Notebook实例角色关联失效三类。

解决方法与调试步骤 #

• 检查Notebook实例的IAM角色关联

  1. 进入Notebook实例控制台，查看实例详情的「IAM角色」字段，确认已关联正确角色
  2. 该角色需包含Neptune ML所需权限，至少覆盖：
     • neptune-db:*（Neptune数据库操作权限）
     • s3:GetObject、s3:PutObject（指定S3桶的读写权限）
     • iam:PassRole（允许将Neptune ML角色传递给服务）
       也可直接附加AmazonNeptuneFullAccess托管策略快速验证。

• 验证Neptune ML角色的标签与信任关系
  Neptune ML对角色有特定配置要求：

  1. 在IAM控制台搜索带有AmazonNeptuneMLServiceRole前缀的角色（或自定义ML角色）
  2. 检查角色标签：必须包含Key=AmazonNeptuneMLManaged, Value=true
  3. 确认信任关系包含以下语句，允许Neptune服务调用该角色：

     {
       "Effect": "Allow",
       "Principal": {
         "Service": "neptune.amazonaws.com"
       },
       "Action": "sts:AssumeRole"
     }
     

• 显式指定IAM角色ARN
  若自动识别机制失效，直接在setup_pretrained_endpoints中手动传入角色ARN参数，示例代码：

  endpoints=neptune_ml.setup_pretrained_endpoints(
      s3_bucket_uri,
      setup_node_classification,
      setup_node_regression,
      setup_link_prediction,
      setup_edge_classification,
      setup_edge_regression,
      neptune_ml_role_arn="arn:aws:iam::123456789012:role/YourNeptuneMLRole"
  )
  

• 排查权限边界与会话策略
  若Notebook关联的角色设置了权限边界，需确保边界策略允许访问Neptune ML相关资源；同时检查是否有会话策略限制了角色的权限范围。

• 测试基础权限连通性
  在Notebook中运行以下代码，验证实例能否正常获取IAM角色信息：

  import boto3
  import requests
  
  # 获取当前实例关联的IAM角色名称
  role_name = requests.get('http://169.254.169.254/latest/meta-data/iam/security-credentials/').text
  iam_client = boto3.client('iam')
  print(iam_client.get_role(RoleName=role_name))
  

  若执行报错，说明Notebook实例无法正常获取IAM角色，需重新关联角色并重启实例。

内容的提问来源于stack exchange，提问作者Luis Leal