更新时间:2024-09-26 GMT+08:00

依赖和委托

功能依赖

功能依赖策略项

您在使用ModelArts的过程中,需要和其他云服务交互,比如需要在提交训练作业时选择指定数据集OBS路径和日志存储OBS路径。因此管理员在为用户配置细粒度授权策略时,需要同时配置依赖的权限项,用户才能使用完整的功能。

  • 如果您使用根用户(与账户同名的缺省子账号)使用ModelArts,根用户默认拥有所有权限,不再需要单独授权。
  • 请用户确保当前用户具备委托授权中包含的依赖策略项权限。例如,用户给ModelArts的委托需要授权SWR Admin权限,需要保证用户本身具备SWR Admin权限。
表1 基本配置

业务场景

依赖的服务

依赖策略项

支持的功能

权限管理

IAM

iam:users:listUsers

查询用户列表(仅管理员需要)

基本功能

IAM

iam:tokens:assume

使用委托获取用户临时认证凭据(必需)

基本功能

BSS

bss:balance:view

在ModelArts控制台创建资源后,页面展示账号当前余额

表2 管理工作空间

业务场景

依赖的服务

依赖策略项

支持的功能

工作空间

IAM

iam:users:listUsers

按用户进行工作空间授权

ModelArts

modelarts:*:delete*

删除工作空间时,同时清理空间内的资源

表3 管理开发环境Notebook

业务场景

依赖的服务

依赖策略项

支持的功能

开发环境实例生命周期管理

ModelArts

modelarts:notebook:create

modelarts:notebook:list

modelarts:notebook:get

modelarts:notebook:update

modelarts:notebook:delete

modelarts:notebook:start

modelarts:notebook:stop

modelarts:notebook:updateStopPolicy

modelarts:image:delete

modelarts:image:list

modelarts:image:create

modelarts:image:get

modelarts:pool:list

modelarts:tag:list

modelarts:network:get

实例的启动、停止、创建、删除、更新等依赖的权限。

AOM

aom:metric:get

aom:metric:list

aom:alarm:list

动态挂载存储配置

ModelArts

modelarts:notebook:listMountedStorages

modelarts:notebook:mountStorage

modelarts:notebook:getMountedStorage

modelarts:notebook:umountStorage

动态挂载存储配置。

OBS

obs:bucket:ListAllMyBuckets

obs:bucket:ListBucket

镜像管理

ModelArts

modelarts:image:register

modelarts:image:listGroup

在镜像管理中注册和查看镜像。

保存镜像

SWR

SWR Admin

SWR Admin为SWR最大权限,用于:

  • 开发环境运行的实例,保存成镜像。
  • 使用自定义镜像创建开发环境Notebook实例。

使用SSH功能

ECS

ecs:serverKeypairs:list

ecs:serverKeypairs:get

ecs:serverKeypairs:delete

ecs:serverKeypairs:create

为开发环境Notebook实例配置登录密钥。

DEW

kps:domainKeypairs:get

kps:domainKeypairs:list

挂载SFS Turbo盘

SFS Turbo

SFS Turbo FullAccess

子账号对SFS目录的读写操作权限。专属池Notebook实例挂载SFS(公共池不支持),且挂载的SFS不是当前子账号创建的。

查看所有实例

ModelArts

modelarts:notebook:listAllNotebooks

ModelArts开发环境界面上,查询所有用户的实例列表,适用于给开发环境的实例管理员配置该权限。

IAM

iam:users:listUsers

VSCode插件(本地)/ PyCharm Toolkit(本地)

ModelArts

modelarts:notebook:listAllNotebooks

modelarts:trainJob:create

modelarts:trainJob:list

modelarts:trainJob:update

modelarts:trainJobVersion:delete

modelarts:trainJob:get

modelarts:trainJob:logExport

modelarts:workspace:getQuotas(如果开通了工作空间功能,则需要配置此权限。)

从本地VSCode连接云上的Notebook实例、提交训练作业等。

OBS

obs:bucket:ListAllMybuckets

obs:bucket:HeadBucket

obs:bucket:ListBucket

obs:bucket:GetBucketLocation

obs:object:GetObject

obs:object:GetObjectVersion

obs:object:PutObject

obs:object:DeleteObject

obs:object:DeleteObjectVersion

obs:object:ListMultipartUploadParts

obs:object:AbortMultipartUpload

obs:object:GetObjectAcl

obs:object:GetObjectVersionAcl

obs:bucket:PutBucketAcl

obs:object:PutObjectAcl

obs:object:ModifyObjectMetaData

IAM

iam:projects:listProjects

从本地PyCharm查询IAM项目列表,完成连接配置。

表4 管理训练作业

业务场景

依赖的服务

依赖策略项

支持的功能

训练管理

ModelArts

modelarts:trainJob:*

modelarts:trainJobLog:*

modelarts:aiAlgorithm:*

modelarts:image:list

modelarts:network:get

modelarts:workspace:get

创建训练作业和查看训练日志。

modelarts:workspace:getQuota

查询工作空间配额。如果开通了工作空间功能,则需要配置此权限。

modelarts:tag:list

在训练作业中使用标签管理服务TMS。

IAM

iam:credentials:listCredentials

iam:agencies:listAgencies

使用配置的委托授权项。

SFS Turbo

sfsturbo:shares:getShare

sfsturbo:shares:getAllShares

在训练作业中使用SFS Turbo。

SWR

SWR Administrator

使用自定义镜像运行训练作业。

SMN

smn:topic:publish

smn:topic:list

通过SMN通知训练作业状态变化事件。

OBS

obs:bucket:ListAllMybuckets

obs:bucket:HeadBucket

obs:bucket:ListBucket

obs:bucket:GetBucketLocation

obs:object:GetObject

obs:object:GetObjectVersion

obs:object:PutObject

obs:object:DeleteObject

obs:object:DeleteObjectVersion

obs:object:ListMultipartUploadParts

obs:object:AbortMultipartUpload

obs:object:GetObjectAcl

obs:object:GetObjectVersionAcl

obs:bucket:PutBucketAcl

obs:object:PutObjectAcl

obs:object:ModifyObjectMetaData

使用OBS桶中的数据集运行训练作业。

表5 使用Workflow

业务场景

依赖的服务

依赖策略项

支持的功能

使用数据集

ModelArts

modelarts:dataset:getDataset

modelarts:dataset:createDataset

modelarts:dataset:createDatasetVersion

modelarts:dataset:createImportTask

modelarts:dataset:updateDataset

modelarts:processTask:createProcessTask

modelarts:processTask:getProcessTask

modelarts:dataset:listDatasets

在工作流中使用ModelArts数据集

管理AI应用

ModelArts

modelarts:model:list

modelarts:model:get

modelarts:model:create

modelarts:model:delete

modelarts:model:update

在工作流中管理ModelArts AI应用

部署上线

ModelArts

modelarts:service:get

modelarts:service:create

modelarts:service:update

modelarts:service:delete

modelarts:service:getLogs

在工作流中管理ModelArts在线服务

训练作业

ModelArts

modelarts:trainJob:get

modelarts:trainJob:create

modelarts:trainJob:list

modelarts:trainJobVersion:list

modelarts:trainJobVersion:create

modelarts:trainJob:delete

modelarts:trainJobVersion:delete

modelarts:trainJobVersion:stop

在工作流中管理ModelArts训练作业

工作空间

ModelArts

modelarts:workspace:get

modelarts:workspace:getQuotas

在工作流中使用ModelArts工作空间

管理数据

OBS

obs:bucket:ListAllMybuckets(获取桶列表)

obs:bucket:HeadBucket(获取桶元数据)

obs:bucket:ListBucket(列举桶内对象)

obs:bucket:GetBucketLocation(获取桶区域位置)

obs:object:GetObject(获取对象内容、获取对象元数据)

obs:object:GetObjectVersion(获取对象内容、获取对象元数据)

obs:object:PutObject(PUT上传、POST上传、复制对象、追加写对象、初始化上传段任务、上传段、合并段)

obs:object:DeleteObject(删除对象、批量删除对象)

obs:object:DeleteObjectVersion(删除对象、批量删除对象)

obs:object:ListMultipartUploadParts(列举已上传的段)

obs:object:AbortMultipartUpload(取消多段上传任务)

obs:object:GetObjectAcl(获取对象ACL)

obs:object:GetObjectVersionAcl(获取对象ACL)

obs:bucket:PutBucketAcl(设置桶ACL)

obs:object:PutObjectAcl(设置对象ACL)

在工作流中使用OBS数据

工作流运行

IAM

iam:users:listUsers(查询用户列表)

iam:agencies:getAgency(查询指定委托详情)

iam:tokens:assume(获取委托Token)

在工作流运行时,调用ModelArts其他服务

集成DLI

DLI

dli:jobs:get(查询作业详情)

dli:jobs:list_all(查询作业列表)

dli:jobs:create(创建新作业)

在工作流中集成DLI

集成MRS

MRS

mrs:job:get(查询作业详情)

mrs:job:submit(创建并执行作业)

mrs:job:list(查询作业列表)

mrs:job:stop(停止作业)

mrs:job:batchDelete(批量删除作业)

mrs:file:list(查询文件列表)

在工作流中集成MRS

表6 管理AI应用

业务场景

依赖的服务

依赖策略项

支持的功能

管理AI应用

SWR

swr:repository:deleteRepository

swr:repository:deleteTag

swr:repository:getRepository

swr:repository:listTags

从自定义镜像导入

从OBS导入时使用自定义引擎

OBS

obs:bucket:ListAllMybuckets(获取桶列表)

obs:bucket:HeadBucket(获取桶元数据)

obs:bucket:ListBucket(列举桶内对象)

obs:bucket:GetBucketLocation(获取桶区域位置)

obs:object:GetObject(获取对象内容、获取对象元数据)

obs:object:GetObjectVersion(获取对象内容、获取对象元数据)

obs:object:PutObject(PUT上传、POST上传、复制对象、追加写对象、初始化上传段任务、上传段、合并段)

obs:object:DeleteObject(删除对象、批量删除对象)

obs:object:DeleteObjectVersion(删除对象、批量删除对象)

obs:object:ListMultipartUploadParts(列举已上传的段)

obs:object:AbortMultipartUpload(取消多段上传任务)

obs:object:GetObjectAcl(获取对象ACL)

obs:object:GetObjectVersionAcl(获取对象ACL)

obs:bucket:PutBucketAcl(设置桶ACL)

obs:object:PutObjectAcl(设置对象ACL)

从OBS导入模型

模型转换指定OBS路径

表7 管理部署上线

业务场景

依赖的服务

依赖策略项

支持的功能

在线服务

LTS

lts:logs:list(查询日志列表)

查询和展示LTS日志

OBS

obs:bucket:GetBucketPolicy (获取桶策略)

obs:bucket:HeadBucket (获取桶元数据)

obs:bucket:ListAllMyBuckets (获取桶列表)

obs:bucket:PutBucketPolicy (设置桶策略)

obs:bucket:DeleteBucketPolicy (删除桶策略)

服务运行时容器挂载外部存储卷

批量服务

OBS

obs:object:GetObject(获取对象内容、获取对象元数据)

obs:object:PutObject(PUT上传、POST上传、复制对象、追加写对象、初始化上传段任务、上传段、合并段)

obs:bucket:CreateBucket(创建桶)

obs:bucket:ListBucket(列举桶内对象)

obs:bucket:ListAllMyBuckets(获取桶列表)

创建批量服务,批量推理。

边缘服务

CES

ces:metricData:list(查询指标数据)

查看服务的监控指标

IEF

ief:deployment:delete(删除应用部署)

管理边缘服务

表8 管理数据集

业务场景

依赖的服务

依赖策略项

支持的功能

管理数据集和标注

OBS

obs:bucket:ListBucket(列举桶内对象)

obs:object:GetObject(获取对象内容、获取对象元数据)

obs:object:PutObject(PUT上传、POST上传、复制对象、追加写对象、初始化上传段任务、上传段、合并段)

obs:object:DeleteObject(删除对象、批量删除对象)

obs:bucket:HeadBucket(获取桶元数据)

obs:bucket:GetBucketAcl(获取桶ACL)

obs:bucket:PutBucketAcl(设置桶ACL)

obs:bucket:GetBucketPolicy(获取桶策略)

obs:bucket:PutBucketPolicy(设置桶策略)

obs:bucket:DeleteBucketPolicy(删除桶策略)

obs:bucket:PutBucketCORS(设置桶的CORS配置、删除桶的CORS配置)

obs:bucket:GetBucketCORS(获取桶的CORS配置)

obs:object:PutObjectAcl(设置对象ACL)

管理OBS中的数据集

标注OBS数据

创建数据管理作业

管理表格数据集

DLI

dli:database:displayAllDatabases

dli:database:displayAllTables

dli:table:describe_table

在数据集中管理DLI数据

管理表格数据集

DWS

dws:openAPICluster:list

dws:openAPICluster:getDetail

在数据集中管理DWS数据

管理表格数据集

MRS

mrs:job:submit

mrs:job:list

mrs:cluster:list

mrs:cluster:get

在数据集中管理MRS数据

智能标注

ModelArts

modelarts:service:list

modelarts:model:list

modelarts:model:get

modelarts:model:create

modelarts:trainJobInnerModel:list

modelarts:workspace:get

modelarts:workspace:list

使用智能标注

团队标注

IAM

iam:projects:listProjects(查询租户项目)

iam:users:listUsers(查询用户列表)

iam:agencies:createAgency(创建委托)

iam:quotas:listQuotasForProject(查询指定项目的配额)

管理标注团队

表9 资源管理

业务场景

依赖的服务

依赖策略项

支持的功能

资源池管理

BSS

bss:coupon:view

bss:order:view

bss:balance:view

bss:discount:view

bss:renewal:view

bss:bill:view

bss:contract:update

bss:order:pay

bss:unsubscribe:update

bss:renewal:update

bss:order:update

资源池的创建、续费、退订等与计费相关的功能。依赖权限需要配置在IAM项目视图中。

CCE

cce:cluster:list

cce:cluster:get

获取CCE集群列表、集群详情、集群证书等信息。依赖权限需要配置在IAM项目视图中。

KMS

kms:cmk:list

kms:cmk:getMaterial

获取用户创建的密钥对列表信息。依赖权限需要配置在IAM项目视图中。

AOM

aom:metric:get

获取资源池的监控数据。依赖权限需要配置在IAM项目视图中。

OBS

obs:bucket:ListAllMybuckets

obs:bucket:HeadBucket

obs:bucket:ListBucket

obs:bucket:GetBucketLocation

obs:object:GetObject

obs:object:PutObject

obs:object:DeleteObject

obs:object:DeleteObjectVersion

获取AI诊断日志。依赖权限需要配置在IAM项目视图中。

ECS

ecs:availabilityZones:list

查询可用区列表。依赖权限需要配置在IAM项目视图中。

网络管理

VPC

vpc:routes:create

vpc:routes:list

vpc:routes:get

vpc:routes:delete

vpc:peerings:create

vpc:peerings:accept

vpc:peerings:get

vpc:peerings:delete

vpc:routeTables:update

vpc:routeTables:get

vpc:routeTables:list

vpc:vpcs:create

vpc:vpcs:list

vpc:vpcs:get

vpc:vpcs:delete

vpc:subnets:create

vpc:subnets:get

vpc:subnets:delete

vpcep:endpoints:list

vpcep:endpoints:create

vpcep:endpoints:delete

vpcep:endpoints:get

vpc:ports:create

vpc:ports:get

vpc:ports:update

vpc:ports:delete

vpc:networks:create

vpc:networks:get

vpc:networks:update

vpc:networks:delete

ModelArts网络资源创建和删除、VPC网络打通。依赖权限需要配置在IAM项目视图中。

SFS Turbo

sfsturbo:shares:addShareNic

sfsturbo:shares:deleteShareNic

sfsturbo:shares:showShareNic

sfsturbo:shares:listShareNics

用户的网络和SFS Turbo资源打通。依赖权限需要配置在IAM项目视图中。

边缘资源池

IEF

ief:node:list

ief:group:get

ief:application:list

ief:application:get

ief:node:listNodeCert

ief:node:get

ief:IEFInstance:get

ief:deployment:list

ief:group:listGroupInstanceState

ief:IEFInstance:list

ief:deployment:get

ief:group:list

边缘池增删改查管理

委托授权

用户在使用ModelArts服务的过程中,为了简化用户的操作,ModelArts后台可以代替用户完成一些工作,如训练作业启动前自动下载用户OBS桶中的数据集到作业空间、自动转储训练作业日志到用户OBS桶中。

ModelArts服务不会保存用户的Token认证凭据,在后台异步作业中操作用户的资源(如OBS桶)前,需要用户通过IAM委托向ModelArts显式授权,ModelArts在需要时使用用户的委托获取临时认证凭据用于操作用户资源,见“添加授权”。

图1 委托授权

图1所示,用户向ModelArts授权后,ModelArts使用委托授权的临时凭证访问和操作用户资源,协助用户自动化一些繁琐和耗时的操作。同时,委托凭证会同步到用户的作业中(Notebook实例和训练作业),客户在作业中可以使用委托凭证自行访问自己的资源。

在ModelArts服务中委托授权有两种方式:

1、一键式委托授权

ModelArts提供了一键式自动授权功能,用户可以在ModelArts的权限管理功能中,快速完成委托授权,由ModelArts为用户自动创建委托并配置到ModelArts服务中。

这种方式为保证使用业务过程中有足够的权限,基于依赖服务的预置系统策略指定授权范围,创建的委托的权限比较大,基本覆盖了依赖服务的全部权限。如果您需要对委托授权的权限范围进行精确控制,请使用第二种方式。

2、定制化委托授权

管理员在IAM中为不同用户创建不同的委托授权策略,再到ModelArts中为用户配置已创建好的委托。管理员在IAM中为用户创建委托时,根据用户的实际权限范围为委托指定最小权限范围,控制用户在使用ModelArts过程中可访问的资源内容。具体参考配置ModelArts基本使用权限

委托授权的越权风险

可以看到用户的委托授权是独立的,理论上用户的委托授权范围是可以超出用户自身用户组的授权策略的授权范围,如果配置不当就会出现用户越权的问题。

为了控制委托授权的越权风险,ModelArts服务的权限管理功能要求只有租户管理员才能为用户配置委托,由管理员保证委托授权的安全性。

委托授权的最小化

管理员在配置委托授权时,应严格控制授权的范围。

ModelArts为用户异步自动化完成作业的准备、清理等操作,所需的委托授权内容是基础授权范围。如果用户只使用ModelArts的部分功能,管理员可以依据委托授权表格的说明屏蔽不使用的基础权限项。相反地,如果用户需要在作业中使用基础授权范围外的资源权限,管理员也可以为用户在委托授权中增加新的权限项。总之,委托授权的范围应该基于实际业务场景所需权限范围来进行定制,保持委托授权范围的最小化。

委托基础授权范围

当您需要定制委托授权的权限列表时,请参考下面表格,根据实际业务选择授权项。

表10 开发环境基础委托授权

业务场景

依赖的服务

委托授权项

说明

Notebook实例中操作OBS数据。

OBS

obs:object:DeleteObject

obs:object:GetObject

obs:object:GetObjectVersion

obs:bucket:CreateBucket

obs:bucket:ListBucket

obs:bucket:ListAllMyBuckets

obs:object:PutObject

obs:bucket:GetBucketAcl

obs:bucket:PutBucketAcl

obs:bucket:PutBucketCORS

您可通过以下方式在Notebook实例中操作OBS中的数据:

  • 通过ModelArts SDK操作OBS数据。
  • 通过Notebook文件上传功能操作OBS数据。
  • 通过在Console页面添加OBS桶到Notebook实例的/data目录下,以文件方式操作OBS数据。

Notebook实例事件上报。

AOM

aom:alarm:put

在Notebook实例的生命周期中,部分事件会上报到用户AOM账号下。

VPC与Notebook实例网络互联。

VPC

vpc:ports:create

vpc:ports:get

vpc:ports:delete

vpc:subnet:get

Notebook实例中新增一个可以与用户指定VPC的子网的网卡,用于与用户VPC下的服务进行网络互联。

VS Code一键连接Notebook。

ModelArts

modelarts:notebook:get

用于管理Notebook实例信息,单击VS Code插件时,获取实例详情信息,以方便将SSH配置信息写入本地VS Code。

停止Notebook实例。

ModelArts

modelarts:notebook:stop

用于停止运行中的Notebook实例。

更新Notebook实例自动停止时间。

ModelArts

modelarts:notebook:updateStopPolicy

用于更新Notebook实例的自动停止时间。

OBS并行文件系统场景下使用MindInsight/TensorBoard可视化工具。

ModelArts

modelarts:notebook:umountStorage

modelarts:notebook:getMountedStorage

modelarts:notebook:listMountedStorages

modelarts:notebook:mountStorage

在开发环境Notebook实例中开启MindInsight/TensorBoard可视化工具,且需要访问的是OBS并行文件系统时,需要配置左侧的权限。

表11 训练作业基础委托授权

业务场景

依赖的服务

委托授权项

说明

训练作业访问OBS文件。

OBS

obs:bucket:HeadBucket

obs:bucket:GetBucketLocation

obs:bucket:ListBucket

obs:bucket:ListAllMyBuckets

obs:object:GetObject

obs:object:GetObjectVersion

obs:object:GetObjectAcl

obs:object:GetObjectVersionAcl

训练作业配置代码目录、输入、输出和日志的OBS桶路径时,需要OBS服务相关操作权限,用于OBS对象路径的合法性校验。

训练作业以自定义容器镜像方式启动。

SWR

SWR Administrator

训练作业以自定义容器镜像方式启动时,需要获取用户SWR容器镜像的临时登录指令,用于下载容器镜像。SWR共享版不支持细粒度权限项,因此需要配置Administrator权限。

训练作业状态变化通知。

SMN

smn:template:list

smn:template:create

smn:topic:list

smn:topic:publish

若要配置训练作业状态变化通知,需要SMN服务相关操作权限,用于发送模板化的消息通知。

训练作业配置挂载SFS Turbo。

SFS Turbo

SFS Turbo ReadOnlyAccess

训练作业配置挂载SFS Turbo时,需要SFS Turbo读权限,以通过SFS Turbo ID获取其详情。

审计日志上报。

CTS

CTS Administrator

配置CTS服务权限,用于上报事件。CTS服务当前上报事件功能未支持细粒度权限项,因此需要配置Administrator权限(CTS细粒度权限说明)。

表12 推理部署基础委托授权

业务场景

依赖的服务

委托授权项

说明

在线服务

LTS

lts:groups:create

lts:groups:list

lts:topics:create

lts:topics:delete

lts:topics:list

建议配置,在线服务配置LTS日志上报。

批量服务

OBS

obs:bucket:ListBucket

obs:object:GetObject

obs:object:PutObject

使用批量服务时必须配置。

边缘服务

IEF

ief:deployment:list

ief:deployment:create

ief:deployment:update

ief:deployment:delete

ief:node:createNodeCert

ief:iefInstance:list

ief:node:list

使用边缘服务时必须配置,通过IEF部署边缘服务。

从OBS导入AI应用。

OBS

obs:object:DeleteObject

obs:object:GetObject

obs:bucket:CreateBucket

obs:bucket:ListBucket

obs:object:PutObject

obs:bucket:GetBucketAcl

obs:bucket:PutBucketAcl

obs:bucket:PutBucketCORS

必须配置。若有使用并行文件系统,则需额外配置obs:bucket:HeadBucket。

从容器镜像中导入AI应用。

SWR

swr:repository:getRepository

swr:repository:updateRepository

swr:instance:listDomainNames

swr:repository:getNamespace

必须配置。

使用ModelArts Edge功能。

IEF

ief:deployment:list

ief:deployment:create

ief:deployment:update

ief:deployment:delete

ief:node:createNodeCert

ief:iefInstance:list

ief:node:list

可选配置,如果使用ModelArts Edge功能需要配置。

AOM指标告警事件

AOM

aom:log:get

aom:alarm:get

aom:metric:put

aom:alarm:put

aom:event:put

aom:event:list

aom:event:get

建议配置,若需要AOM查看告警事件则需要配置。

监控指标上报CES

CES

CES ReadOnlyAccess

ces:metricMeta:create

建议配置,监控指标上报CES。

企业项目

EPS

EPS ReadOnlyAccess

可选配置,如果企业项目则需要配置。

消息订阅推送

SMN

smn:topic:list

smn:topic:publish

smn:application:publish

可选配置,如果使用消息订阅推送功能需要配置。

表13 数据管理基础委托授权

业务场景

依赖的服务

委托授权项

说明

使用数据标注、数据处理功能。

ModelArts

modelarts:trainJob:create

modelarts:trainJob:update

modelarts:trainJob:delete

modelarts:trainJob:get

modelarts:trainJob:list

modelarts:trainJob:previewLog

modelarts:aiAlgorithm:get

modelarts:aiAlgorithm:get

modelarts:model:get

modelarts:service:list

modelarts:model:create

modelarts:workspace:list

modelarts:workspace:get

modelarts:trainJobInnerModel:list

必须配置,使用数据标注、数据处理功能时会进行创建训练作业、查询训练作业、算法查询等操作。

访问OBS数据

OBS

obs:bucket:ListBucket

obs:object:GetObject

obs:object:PutObject

obs:object:DeleteObject

obs:bucket:HeadBucket

obs:bucket:GetBucketAcl

obs:bucket:PutBucketAcl

obs:bucket:GetBucketPolicy

obs:bucket:PutBucketPolicy

obs:bucket:DeleteBucketPolicy

obs:bucket:PutBucketCORS

obs:bucket:GetBucketCORS

obs:object:PutObjectAcl

必须配置,在OBS中存储、查询、删除数据。

访问DLI数据。

DLI

dli:queue:createQueue

dli:queue:dropQueue

dli:queue:scaleQueue

dli:queue:submitJob

dli:database:displayDatabase

dli:database:displayAllTables

dli:table:describeTable

dli:table:showPrivileges

dli:jobs:grantPrivilege

dli:table:dropTable

可选配置,如果访问DLI数据需要配置。

访问MRS数据。

MRS

mrs:job:submit

mrs:job:list

mrs:cluster:list

mrs:file:list

可选配置,如果访问MRS数据需要配置。

访问DWS数据。

DWS

dws:openAPICluster:list

dws:openAPICluster:getDetail

可选配置,如果访问DWS数据需要配置。

表14 专属资源池管理基础委托授权

业务场景

依赖的服务

委托授权项

说明

通过关联sfsturbo功能实现专属资源池和SFS Turbo资源打通。

SFS Turbo

sfsturbo:shares:showShareNic

sfsturbo:shares:listShareNics

sfsturbo:shares:addShareNic

sfsturbo:shares:deleteShareNic

使用该特性时需要配置。

用户的ModelArts网络和VPC进行打通,同时添加相关路由。

VPC

vpc:vpcs:get

vpc:subnets:get

vpc:peerings:accept

vpc:routers:create

vpc:routes:delete

vpc:routes:get

vpc:routeTables:update

vpc:routeTables:get

使用该特性时需要配置。

使用ModelArts Lite Cluster资源池。

CCE

APM

cce:cluster:get

cce:node:get

cce:node:list

cce:job:get

cce:node:create

cce:node:delete

cce:node:remove

cce:addonInstance:get

cce:addonInstance:list

cce:addonInstance:create

cce:addonInstance:update

cce:addonInstance:delete

apm:icmgr:create

使用ModelArts Lite Cluster资源池时必须配置。

ModelArts通过委托的方式管理用户的CCE集群,同步集群信息、纳管节点等。

ECS

BMS

EVS

DEW

ecs:cloudServers:create

ecs:cloudServers:delete

ecs:cloudServers:get

ecs:cloudServers:start

ecs:cloudServers:stop

ecs:cloudServers:reboot

ecs:cloudServers:redeploy

ecs:cloudServers:listServerInterfaces

ecs:cloudServers:changeVpc

ecs:cloudServerFlavors:get

ecs:quotas:get

ecs:cloudServers:batchSetServerTags

bms:servers:create

bms:serverFlavors:get

evs:types:get

evs:volumes:list

evs:quotas:get

kps:domainKeypairs:get

使用ModelArts Lite Cluster资源池时必须配置。

ModelArts通过委托的方式对用户的BMS/ECS节点进行生命周期的管理。

IMS

ims:images:get

ims:images:share

使用ModelArts Lite Cluster资源池时必须配置。

ModelArts Lite Cluster专属资源池节点创建在用户账号下,创建前需要将节点系统镜像共享给用户账号。