Comment résoudre les erreurs que je reçois lorsqu'une tâche de bloc-notes planifiée tente de s'exécuter dans SageMaker AI Studio ?

Résolution

Résoudre les erreurs AccessDenied

Lorsqu'une tâche de bloc-notes planifiée tente de s'exécuter, le message d'erreur « AccessDenied » peut s'afficher pour les raisons suivantes :

• Vous ne disposez pas des politiques Gestion des identités et des accès AWS (AWS IAM) requises.
• Vous ne disposez pas des politiques de point de terminaison Amazon Virtual Private Cloud (Amazon VPC) requises.
• Vous avez des exceptions pour les identifications de ressources.

Problèmes liés à la politique IAM

Assurez-vous que la politique suivante est associée au rôle IAM sur votre bloc-notes afin de permettre la relation d’approbation de base :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "sagemaker.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "events.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Vérifiez également que votre rôle IAM dispose des autorisations suivantes :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::*:role/*",
      "Condition": {
        "StringLike": {
          "iam:PassedToService": [
            "sagemaker.amazonaws.com",
            "events.amazonaws.com"
          ]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "events:TagResource",
        "events:DeleteRule",
        "events:PutTargets",
        "events:DescribeRule",
        "events:PutRule",
        "events:RemoveTargets",
        "events:DisableRule",
        "events:EnableRule"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/sagemaker:is-scheduling-notebook-job": "true"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:PutBucketVersioning",
        "s3:PutEncryptionConfiguration"
      ],
      "Resource": "arn:aws:s3:::sagemaker-automated-execution-*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "sagemaker:ListTags"
      ],
      "Resource": [
        "arn:aws:sagemaker:*:*:user-profile/*",
        "arn:aws:sagemaker:*:*:space/*",
        "arn:aws:sagemaker:*:*:training-job/*",
        "arn:aws:sagemaker:*:*:pipeline/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "sagemaker:AddTags"
      ],
      "Resource": [
        "arn:aws:sagemaker:*:*:training-job/*",
        "arn:aws:sagemaker:*:*:pipeline/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:CreateVpcEndpoint",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeRouteTables",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcEndpoints",
        "ec2:DescribeVpcs",
        "ecr:BatchCheckLayerAvailability",
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        "ecr:GetAuthorizationToken",
        "s3:ListBucket",
        "s3:GetBucketLocation",
        "s3:GetEncryptionConfiguration",
        "s3:PutObject",
        "s3:DeleteObject",
        "s3:GetObject",
        "sagemaker:DescribeDomain",
        "sagemaker:DescribeUserProfile",
        "sagemaker:DescribeSpace",
        "sagemaker:DescribeStudioLifecycleConfig",
        "sagemaker:DescribeImageVersion",
        "sagemaker:DescribeAppImageConfig",
        "sagemaker:CreateTrainingJob",
        "sagemaker:DescribeTrainingJob",
        "sagemaker:StopTrainingJob",
        "sagemaker:Search",
        "sagemaker:CreatePipeline",
        "sagemaker:DescribePipeline",
        "sagemaker:DeletePipeline",
        "sagemaker:StartPipelineExecution"
      ],
      "Resource": "*"
    }
  ]
}

Pour en savoir plus, consultez la section Politiques gérées par AWS pour les blocs-notes SageMaker.

Problèmes liés aux points de terminaison de VPC

Si vous lancez la tâche de bloc-notes via le point de terminaison de VPC Amazon, vérifiez la configuration et la politique de ce point de terminaison. Assurez-vous d’effectuer les étapes requises et de suivre les bonnes pratiques pour le point de terminaison de service AWS concerné :

• Amazon Elastic Compute Cloud (Amazon EC2)
• Amazon EventBridge
• SageMaker AI
• Amazon Simple Storage Service (Amazon S3)

Pour les points de terminaison de VPC Amazon S3, il est possible que vous receviez une erreur liée à un point de terminaison limité à un seul compte AWS. Par exemple, la politique suivante restreint l'accès à un compte correspondant à l'ID 111122223333 :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSpecificAccountsPermission",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "s3:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "s3:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}

Pour résoudre ce problème, vous devez également autoriser l'accès au compartiment S3 suivant pour les actions de l'utilisateur :

{
  "Action": [
    "s3:*"
  ],
  "Resource": [
    "arn:aws:s3:::sagemakerheadlessexecution-prod-*",
    "arn:aws:s3:::sagemakerheadlessexecution-prod-*/*"
  ],
  "Effect": "Allow",
  "Sid": "SCTASK14554266"
}

Exceptions des identifications de ressources

Vérifiez que votre politique IAM dispose des autorisations suivantes :

{
  "Effect": "Allow",
  "Action": [
    "events:TagResource",
    "events:DeleteRule",
    "events:PutTargets",
    "events:DescribeRule",
    "events:PutRule",
    "events:RemoveTargets",
    "events:DisableRule",
    "events:EnableRule"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:ResourceTag/sagemaker:is-scheduling-notebook-job": "true"
    }
  }
}

Résoudre les erreurs d'interface utilisateur

Lorsque vous essayez de créer, de décrire, de mettre à jour, d'arrêter ou de supprimer une tâche de bloc-notes, vous pouvez recevoir une erreur d’interface utilisateur. Cette erreur peut également s'afficher lorsque vous utilisez des définitions de tâches (tâches planifiées). Pour résoudre les problèmes, consultez le message d'erreur qui s'affiche dans l'interface utilisateur. Ce message peut contenir des instructions ou des suggestions d'actions pour résoudre le problème.

Si vous ne parvenez pas à corriger l'erreur, procédez comme suit :

1. Effectuez une capture d'écran du message d'erreur et enregistrez-la sous forme de fichier image.
2. Créez un fichier d'archive HTTP (HAR) qui capture le trafic réseau lorsque l'erreur d'interface utilisateur se produit.
3. Ouvrez le terminal du serveur SageMaker AI Studio Jupyter. Choisissez Fichier, Nouveau, Terminal.
4. Consultez les journaux dans /var/log/apps/app_container.log pour détecter toute exception, erreur ou avertissement coïncidant avec l'erreur d'interface utilisateur.
5. Contactez AWS Support. Dans votre requête, joignez la capture d'écran du message d'erreur, le fichier app_container.log et le fichier HAR.