已部署的Flask服务能否调用SageMaker推理接口？如何配置权限？

疑问确认 #

• Elastic Beanstalk部署的Flask服务完全支持调用SageMaker InvokeEndpoint接口，本地运行正常是因为你本地配置的AWS凭证（比如本地密钥文件、环境变量配置的访问密钥）拥有对应SageMaker调用权限，你提供的代码逻辑没有问题。
• 你遇到的报错完全由权限配置错误导致，错误信息已明确说明：你的EB EC2实例所使用的IAM角色aws-elasticbeanstalk-ec2-role，没有被授予指定SageMaker端点的sagemaker:InvokeEndpoint操作权限。

权限配置操作步骤 #

1. 登录AWS控制台，进入IAM服务管理页面
2. 在左侧菜单栏选择「角色」，搜索找到aws-elasticbeanstalk-ec2-role（如果你的EB环境自定义了EC2实例角色，就搜索你自定义的角色名称）
3. 进入角色详情页，点击「权限」选项卡下的「添加权限」→「创建内联策略」
4. 切换到JSON编辑模式，粘贴如下策略内容，注意替换示例中的SageMaker端点ARN为你实际使用的端点ARN：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sagemaker:InvokeEndpoint",
            "Resource": "arn:aws:sagemaker:us-west-2:12345678910:endpoint/example_endpoint-2021-10-20-19-02-21"
        }
    ]
}

说明：如果需要允许该角色调用账号下所有SageMaker端点，可将Resource字段的值改为*，生产环境建议遵循最小权限原则，仅授权需要用到的端点。

5. 给策略设置名称后保存即可，无需重启EB环境，权限会在数分钟内自动生效。

异常排查 #

如果配置完成后仍然报错，可检查两个常见问题：

• 确认EB环境所在区域和SageMaker端点所在区域一致，你代码中硬编码的区域为us-west-2，不要出现区域配置错误
• 确认对应SageMaker端点处于InService正常运行状态，没有被关闭或删除

内容的提问来源于stack exchange，提问作者disturbed_monkey