Grant required permissions to use Machine Learning Designer - Platform For AI

Antes de usar Machine Learning Designer, otorgue permisos a dos tipos de cuentas: la cuenta operativa (cuenta raíz o usuario RAM) que ejecuta las cargas de trabajo y la cuenta de servicio de PAI que accede a los servicios en la nube dependientes en su nombre.

Designer depende de Object Storage Service (OSS) para almacenar datos intermedios y modelos entrenados. Según las funciones que utilice, también puede depender de MaxCompute, Flink o recursos de entrenamiento generales.

Para consultar la lista completa de dependencias de productos en la nube y su estado de autorización, inicie sesión en PAI console PAI console y vaya a Activation & Authorization > Dependent Services .

Requisitos previos

Antes de empezar, asegúrese de contar con lo siguiente:

Una cuenta de Alibaba Cloud (cuenta raíz).
Acceso a PAI console y a RAM console.
Un espacio de trabajo de PAI (obligatorio para asignar usuarios RAM a roles del espacio de trabajo).

Permisos por escenario

Los permisos necesarios dependen de las funciones de Designer que utilice. Use la tabla a continuación para identificar qué debe autorizar.

If you use...	Services to authorize
Solo funciones básicas de Designer	Designer + OSS
Componentes de algoritmos de aprendizaje profundo	Designer + OSS
Componentes de algoritmos integrados de MaxCompute	Designer + OSS + MaxCompute
Componentes de algoritmos de Flink (por ejemplo, PyAlink Script)	Designer + OSS + Flink
Componente Custom Python Script o entrenamiento general	Designer + OSS + Recursos de cómputo generales
Todas las funciones de Designer	Designer + OSS + MaxCompute + Flink + Recursos de cómputo generales

Otorgar permisos a la cuenta operativa

Designer

Designer proporciona un entorno de desarrollo visual para el ciclo de vida del aprendizaje automático, que incluye algoritmos integrados.

Account type	What to do
Cuenta raíz	No se requiere autorización adicional. Las cuentas raíz tienen acceso completo a Designer de forma predeterminada.
Usuario RAM (recomendado)	Agregue el usuario RAM como miembro del espacio de trabajo y asígnele un rol adecuado. Para obtener detalles sobre los permisos de los roles, consulte Appendix: Roles and permissions. Para conocer los pasos para agregar miembros, consulte Manage workspace members.

Recursos de cómputo generales

Designer utiliza los recursos de cómputo generales de PAI para ejecutar cargas de trabajo de entrenamiento de IA. Otorgue los permisos antes de enviar tareas de entrenamiento.

Cuenta raíz: Compre los recursos de cómputo generales directamente. No se necesita autorización adicional.
Usuario RAM: Otorgue el permiso AliyunPAIFullAccess. Para más detalles, consulte Permission management.

Para permitir que un usuario RAM envíe tareas de entrenamiento a los recursos de cómputo asociados con un espacio de trabajo, agregue dicho usuario al espacio de trabajo y asígnele el rol Developer, Algorithm O&M Engineer o Administrator.

OSS

Designer almacena datos intermedios y modelos entrenados en buckets de OSS. Active OSS y otorgue los permisos correspondientes antes de usar componentes de algoritmos de aprendizaje profundo.

Activar OSS

Account type	What to do
Cuenta raíz	Active OSS. No se necesita autorización adicional.
Usuario RAM	Otorgue el permiso `AliyunOSSFullAccess`. Consulte RAM Policy para más detalles.

Para conocer los pasos de activación, consulte Activate OSS. Si desea crear un bucket después de la activación, consulte Create a bucket in the console.

Otorgar a un usuario RAM acceso a los datos de OSS en PAI console

Las operaciones en PAI console, como listar buckets, leer datos y escribir datos, requieren una política de OSS personalizada con alcance limitado a su bucket. Siga estos pasos para crear la política.

Importante

Defina la política de acceso según los permisos reales que necesite el usuario RAM. Evite otorgar un acceso más amplio del necesario.

Inicie sesión en RAM console.
En el panel de navegación izquierdo, elija Permissions > Policies.
Haga clic en Create Policy.

En la página Create Policy, haga clic en la pestaña JSON Editor e introduzca el siguiente documento de política:

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "oss:GetObject",
        "oss:ListObjects",
        "oss:DeleteObject",
        "oss:ListParts",
        "oss:PutObject",
        "oss:AbortMultipartUpload",
        "oss:GetBucketCors",
        "oss:GetBucketCors",
        "oss:DeleteBucketCors"
      ],
      "Resource": [
        "acs:oss:*:*:<yourBucketName>",
        "acs:oss:*:*:<yourBucketName>/*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "oss:ListBuckets"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Reemplace <yourBucketName> con el nombre del bucket al que desea otorgar acceso.

Introduzca un valor en Name y en Note para la política, y luego haga clic en OK.

Para consultar la referencia completa sobre las políticas de autorización de OSS, consulte RAM Policy.

MaxCompute

Designer incluye cientos de algoritmos propietarios desarrollados sobre MaxCompute. Para usar estos componentes de algoritmos, active MaxCompute y otorgue los permisos necesarios.

Para conocer los pasos de activación y autorización, vaya a Activation & Authorization > Dependent Services en PAI console y busque la sección de MaxCompute.

Flink

Designer proporciona componentes de algoritmos que se ejecutan en Flink, como el componente PyAlink Script. Para usarlos, active Flink y otorgue los permisos necesarios.

Para conocer los pasos de activación y autorización, vaya a Activation & Authorization > Dependent Services en PAI console y busque la sección de Flink.

Otorgar permisos a la cuenta de servicio de PAI

La autorización suele completarse al activar PAI. Si no se completó durante la activación, realícela de la siguiente manera:

Inicie sesión en PAI console.
En el panel de navegación izquierdo, haga clic en Activation & Authorization > Dependent Services. En la sección Designer, busque OSS.
Compruebe el estado de autorización en la columna Actions:
- Si OSS no está autorizado, haga clic en Authorize Now y siga las instrucciones en pantalla.
- Si OSS ya está autorizado, haga clic en View Authorization para revisar los detalles.