Grant required permissions to use Machine Learning Designer - Platform For AI: Central de Documentação do Alibaba Cloud

Antes de usar o Machine Learning Designer, conceda permissões a dois tipos de conta: a conta operacional (conta raiz ou usuário RAM), que executa cargas de trabalho, e a conta de service do PAI, que acessa services de cloud dependentes em seu nome.

O Designer depende do Object Storage Service (OSS) para armazenar dados intermediários e modelos treinados. Dependendo dos recursos utilizados, ele também pode depender do MaxCompute, do Flink ou de recursos gerais de treinamento.

Para visualize a lista completa de dependências de products de cloud e o status de autorização, faça login no PAI console PAI console e acesse Activation & Authorization > Dependent Services .

Pré-requisitos

Antes de começar, certifique-se de ter:

Uma conta Alibaba Cloud (conta raiz)
Acesso ao PAI console e ao RAM console
Um workspace do PAI (necessário para atribuir usuários RAM a funções do workspace)

Permissões por cenário

As permissões necessárias dependem dos recursos do Designer utilizados. Use a tabela a seguir para identificar o que autorizar.

Se você usar...	Services a autorizar
Apenas recursos básicos do Designer	Designer + OSS
Componentes de algoritmos de deep learning	Designer + OSS
Componentes de algoritmos integrados do MaxCompute	Designer + OSS + MaxCompute
Componentes de algoritmos do Flink (por exemplo, PyAlink Script)	Designer + OSS + Flink
Componente Custom Python Script ou treinamento geral	Designer + OSS + Recursos gerais de computação
Todos os recursos do Designer	Designer + OSS + MaxCompute + Flink + Recursos gerais de computação

Conceda permissões à conta operacional

Designer

O Designer fornece um ambiente de desenvolvimento visual para o ciclo de vida de machine learning, incluindo algoritmos integrados.

Tipo de conta	O que fazer
Conta raiz	Não requer autorização adicional. Contas raiz têm acesso total ao Designer por padrão.
Usuário RAM (recomendado)	Adicione o usuário RAM como membro do workspace e atribua a função apropriada. Para detalhes sobre as permissões das funções, consulte Appendix: Roles and permissions. Para as etapas de adição de membros, consulte Manage workspace members.

Recursos gerais de computação

O Designer usa recursos gerais de computação do PAI para execute cargas de trabalho de treinamento de IA. Conceda as permissões antes de enviar tarefas de treinamento.

Conta raiz: Compre recursos gerais de computação diretamente — não requer autorização adicional.
Usuário RAM: Conceda a permissão AliyunPAIFullAccess. Para detalhes, consulte Permission management.

Para permitir que um usuário RAM envie tarefas de treinamento para recursos de computação associados a um workspace, adicione-o ao workspace e atribua a função Developer, Algorithm O&M Engineer ou Administrator.

OSS

O Designer armazena dados intermediários e modelos treinados em buckets do OSS. Ative o OSS e conceda permissões antes de usar componentes de algoritmos de deep learning.

Ativar o OSS

Tipo de conta	O que fazer
Conta raiz	Ative o OSS — não requer autorização adicional.
Usuário RAM	Conceda a permissão `AliyunOSSFullAccess`. Consulte RAM Policy para detalhes.

Para as etapas de ativação, consulte Activate OSS. Para crie um bucket após a ativação, consulte Create a bucket in the console.

Conceda acesso a um usuário RAM aos dados do OSS no PAI console

Operações no PAI console — como listar buckets, ler e gravar dados — exigem uma política personalizada do OSS com escopo definido para o seu bucket. Use as etapas a seguir para crie a política.

Importante

Defina a política de acesso com base nas permissões reais necessárias para o usuário RAM. Evite conceder acesso mais amplo que o necessário.

Acesse o RAM console.
No painel de navegação à esquerda, escolha Permissions > Policies.
Clique em Create Policy.

Na página Create Policy, clique em JSON Editor e insira o seguinte documento de política:

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "oss:GetObject",
        "oss:ListObjects",
        "oss:DeleteObject",
        "oss:ListParts",
        "oss:PutObject",
        "oss:AbortMultipartUpload",
        "oss:GetBucketCors",
        "oss:GetBucketCors",
        "oss:DeleteBucketCors"
      ],
      "Resource": [
        "acs:oss:*:*:<yourBucketName>",
        "acs:oss:*:*:<yourBucketName>/*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "oss:ListBuckets"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Substitua <yourBucketName> pelo nome do bucket ao qual deseja conceder acesso.

Insira um Name e uma Note para a política e clique em OK.

Para referência completa sobre as políticas de autorização do OSS, consulte RAM Policy.

MaxCompute

O Designer inclui centenas de algoritmos proprietários desenvolvidos no MaxCompute. Para usar esses componentes de algoritmos, ative o MaxCompute e conceda as permissões necessárias.

Para as etapas de ativação e autorização, acesse Activation & Authorization > Dependent Services no PAI console e localize a seção do MaxCompute.

Flink

O Designer fornece componentes de algoritmos execute no Flink, como o componente PyAlink Script. Para usar esses componentes, ative o Flink e conceda as permissões necessárias.

Para as etapas de ativação e autorização, acesse Activation & Authorization > Dependent Services no PAI console e localize a seção do Flink.

Conceda permissões à conta de service do PAI

A autorização geralmente é concluída ao ativar o PAI. Se não foi concluída durante a ativação, faça-o da seguinte forma:

Acesse o PAI console.
No painel de navegação à esquerda, clique em Activation & Authorization > Dependent Services. Na seção Designer, localize o OSS.
Verifique o status de autorização na coluna Actions:
- Se o OSS não estiver autorizado, clique em Authorize Now e siga as instruções na tela.
- Se o OSS já estiver autorizado, clique em View Authorization para revisar os detalhes.