SageMaker项目创建成功无关联管道/仓库问题及手动关联咨询

• 首先核对SageMaker项目的服务角色权限：CloudFormation堆栈部署成功仅代表CFN执行角色有权限创建CodeCommit、Pipeline资源，SageMaker完成资源关联需要使用项目配置中指定的服务角色。需确认该角色信任策略允许sagemaker.amazonaws.com服务代入，同时具备sagemaker:AddTags、sagemaker:AssociateTrialComponent、CodeCommit/Pipeline资源的读取权限，且没有被账号SCP、权限边界拦截相关操作——正常关联时自动打上的sagemaker:project-name标签，就是SageMaker在关联流程中执行打标操作生成的，标签缺失基本可以确认关联流程未正常执行。
• 检查CloudFormation模板的输出段配置：SageMaker不会自动扫描栈内所有资源做关联，必须要求模板Outputs中声明固定逻辑ID的输出字段才能识别资源：
  • CodeCommit关联要求输出固定逻辑ID：CodeCommitRepositoryArn、CodeCommitRepositoryName、CodeCommitRepositoryUrl
  • CodePipeline关联要求输出固定逻辑ID：PipelineArn、PipelineName
    逻辑ID拼写错误、字段缺失都会导致SageMaker无法识别已创建的资源，出现资源存在但项目页无展示的问题。
• 核对Terraform的SageMaker项目配置：确认aws_sagemaker_project资源中service_catalog_provisioning_details块正确指定了对应版本的Service Catalog产品ID、预配置参数，引用过旧的SageMaker项目产品版本会存在已知的关联逻辑缺陷，跳过资源扫描和打标步骤。
• 排查CloudTrail事件记录：筛选事件源为sagemaker.amazonaws.com的操作日志，查看CreateProject调用完成后72小时内的关联相关操作（AddTags、AssociateTrialComponent）的报错信息，日志会明确标注关联失败的具体原因。
• 修复配置后无需重建项目：补全权限、修正CFN输出配置后，调用SageMaker的update-project接口（可传入无业务影响的参数，比如更新项目描述）即可触发SageMaker重新扫描关联CFN栈的资源，自动完成关联和打标。

SageMaker原生没有提供控制台一键关联存量CodeCommit仓库的入口，但可以通过手动补全配置实现和自动关联完全一致的效果：

• 给目标CodeCommit仓库、对应Pipeline资源打上标签，键为sagemaker:project-name，值与目标SageMaker项目名称完全一致（大小写敏感）
• 编辑项目关联的CloudFormation堆栈的模板，在Outputs段补充前述固定逻辑ID的CodeCommit、Pipeline资源输出字段，注意不要修改栈内已创建资源的配置，仅补充输出项不会影响现有资源运行
• 调用update-project接口触发项目同步，同步完成后即可在SageMaker项目的代码仓库、流水线页签下看到对应资源，使用体验和自动关联的资源无差异。

内容的提问来源于stack exchange，提问作者awscoder