如何向组织外人员开放AWS SageMaker及相关依赖资源的访问权限

访问链接生成方案 #

AWS SSO认证方案（推荐） #

该方案匹配你想要直接发送统一登录链接的需求，配置和使用流程如下：

• 先在AWS SSO控制台创建专门的外部用户组，绑定提前配置好的SageMaker访问角色、关联对应权限策略，再将SageMaker Studio应用分配到该用户组
• 统一登录链接直接从AWS SSO控制台「设置」页面的「用户访问门户」栏复制，发给所有外部用户即可
• 若外部用户自带AWS账户，可在AWS SSO中配置对接对方的身份体系，用户用自身原有AWS凭证即可登录访问门户，无需你单独创建账号，登录后即可直接进入你方账户下的SageMaker Studio环境

IAM认证方案 #

• 你在SageMaker Studio控制面板手动添加用户后，每个对应用户的专属Studio访问链接会直接展示在用户列表中，可单独复制发给对应用户
• 不需要用户使用root身份登录，你只需给用户分配普通IAM用户/配置跨账户IAM角色信任关系即可，权限完全由你绑定的策略控制，和root身份无关

跨账户角色访问场景 #

如果选用跨账户IAM角色方案，你在本方账户创建允许对方AWS账户代入的SageMaker访问角色后，可直接构造固定跳转链接发给用户，链接格式为：
https://<区域ID>.console.aws.amazon.com/sagemaker/home?region=<区域ID>#/studio/open/<你的Studio域名>/<角色名>
替换对应参数即可直接使用，用户登录自身AWS账户后点击链接，选择切换到对应角色即可直接进入Studio。

权限策略说明 #

• SageMaker官方提供预置托管策略，常用的两类如下：
  • AmazonSageMakerFullAccess：全量访问托管策略，默认包含SageMaker本身全量操作权限，以及依赖的S3、EC2、ECR、CloudWatch等关联服务的通用访问权限，测试场景可直接绑定使用
  • AmazonSageMakerReadOnlyAccess：只读权限托管策略，适合仅需查看资源的场景
• 生产环境建议自定义策略：默认全量托管策略权限范围过大，建议根据外部团队的实际使用需求裁剪权限，比如限制仅可访问指定S3桶、仅可启动指定规格的EC2实例，避免权限溢出。

内容的提问来源于stack exchange，提问作者Cybernetic