ฉันจะสร้างและกำหนดค่าบทบาทของ IAM ได้อย่างไรสำหรับ Deepseek และ OpenSearch

การสร้างบทบาทของ IAM สำหรับ DeepSeek

ในการรวม Deepseek เข้ากับ OpenSearch คุณต้องสร้างสองบทบาท IAM: หนึ่งสำหรับการเรียกใช้โมเดล Deepseek และอีกรุ่นหนึ่งสำหรับการสร้างตัวเชื่อมต่อใน OpenSearch

1. เรียกใช้บทบาทลึกลงไป **

1. สร้างบทบาท: **
- ไปที่คอนโซลการจัดการ AWS
- คลิกที่บทบาทในบานหน้าต่างการนำทางด้านซ้าย
- คลิกสร้างบทบาท
- เลือกบริการ AWS เป็นประเภทเอนทิตีที่เชื่อถือได้
- เลือกบริการ OpenSearch เป็นบริการที่จะใช้บทบาท
- ดำเนินการต่อเพื่อแนบสิทธิ์

2. แนบสิทธิ์: **
- สร้างนโยบายใหม่หรือใช้นโยบายที่มีอยู่ซึ่งอนุญาตให้ OpenSearch เรียกใช้จุดสิ้นสุดของ Sagemaker ของคุณ
- นโยบายควรรวมถึงการกระทำเช่น `Sagemaker: InvokeEndpoint` สำหรับจุดสิ้นสุดเฉพาะ Arn

3. ความไว้วางใจความสัมพันธ์: **
- ตรวจสอบให้แน่ใจว่านโยบายความน่าเชื่อถืออนุญาตให้ OpenSearch Service รับบทบาท โดยทั่วไปจะเกี่ยวข้องกับการระบุบริการ OpenSearch เป็นเงินต้นในนโยบายความน่าเชื่อถือ

2. สร้างบทบาทตัวเชื่อมต่อ **

1. สร้างบทบาท: **
- ทำซ้ำขั้นตอนเพื่อสร้างบทบาทใหม่
- เวลานี้เลือกบัญชี AWS อื่นเป็นเอนทิตีที่เชื่อถือได้หากคุณใช้การเข้าถึงบัญชีข้ามหรือเลือกเอนทิตีที่เหมาะสมตามการตั้งค่าของคุณ

2. แนบสิทธิ์: **
- แนบนโยบายที่อนุญาตให้เขียนไปยังบริการ OpenSearch เช่น `ES: ESHTTPPOST` สำหรับ OPENSEARCH DOMAIN ARN เฉพาะ

3. ความไว้วางใจความสัมพันธ์: **
- กำหนดค่านโยบายความน่าเชื่อถือเพื่ออนุญาตให้ผู้ใช้ปัจจุบันหรือบัญชีถือว่าบทบาทนี้

การกำหนดค่าบทบาทการเปิดใช้งาน

1. กำหนดบทบาท OpenSearch **

1. การเข้าถึงแดชบอร์ด OpenSearch: **
- นำทางไปยังโดเมน OpenSearch ของคุณและ Access OpenSearch Dashboards

2. สร้างบทบาทใหม่: **
- ไปที่ความปลอดภัย> บทบาท
- คลิกสร้างบทบาท
- ระบุชื่อสำหรับบทบาทและกำหนดสิทธิ์ที่จำเป็น (เช่นอ่าน/เขียนการเข้าถึงดัชนีเฉพาะ)

3. แผนที่บทบาทแบ็กเอนด์: **
- หากคุณรวมเข้ากับ AWS IAM คุณจะต้องทำแผนที่บทบาทของ IAM เพื่อเปิดบทบาทการค้นหา
- ไปที่บทบาทที่คุณสร้างขึ้นใน OpenSearch และเลือกผู้ใช้ที่แมป> จัดการการแมป
- ป้อนบทบาทของ IAM ที่คุณสร้างขึ้นสำหรับการเรียกใช้ Deepseek หรือสร้างตัวเชื่อมต่อ

รวมกับ AWS IAM Identity Center (ไม่บังคับ)

หากคุณใช้ AWS IAM Identity Center (เดิมชื่อ AWS Single Sign-On) สำหรับการเป็นสหพันธ์เอกลักษณ์คุณสามารถแมปกลุ่มศูนย์ข้อมูล IAM เพื่อเปิดบทบาทการค้นหาโดยใช้แอตทริบิวต์ SAML สิ่งนี้ช่วยให้คุณจัดการการควบคุมการเข้าถึงจากส่วนกลาง

1. รวมศูนย์ IAM Identity กับ OpenSearch: **
- ตั้งค่าการรวม SAML ระหว่าง IAM Identity Center และ OpenSearch Service
- กลุ่มแผนที่ใน IAM Identity Center ไปยังบทบาท OpenSearch ที่กำหนดไว้ล่วงหน้าตามคุณลักษณะ SAML

2. กำหนดค่าการแมปบทบาทแบ็กเอนด์: **
- เข้าสู่ระบบ Dashboards OpenSearch ในฐานะผู้ดูแลระบบ
- กำหนดค่าการแมปสำหรับแต่ละกลุ่มไปยังบทบาท OpenSearch ที่เหมาะสม

โดยทำตามขั้นตอนเหล่านี้คุณสามารถสร้างและกำหนดค่าบทบาทของ IAM ได้อย่างมีประสิทธิภาพสำหรับ Deepseek และ OpenSearch เพื่อให้มั่นใจว่าการเข้าถึงทรัพยากรของคุณอย่างปลอดภัยและควบคุมได้อย่างปลอดภัย

การอ้างอิง:
[1] https://docs.aws.amazon.com/iam/latest/userguide/id_roles_create.html
[2] https://opensearch.org/docs/latest/security/access-control/users-roles/
[3] https://github.com/opensearch-project/ml-commons/blob/main/docs/tutorials/aws/rag_with_deepseek_r1_model_on_bedrock.md
[4] https://docs.aws.amazon.com/iam/latest/userguide/id_roles_create_for-user.html
[5] https://aws.amazon.com/blogs/big-data/Role-ace-cess-control-in-amazon-opensearch-service-via-saml-integration-with-aws-iam-identity-center/
[6] https://aws.amazon.com/blogs/big-data/use-deepseek-with-amazon-opensearch-service-vector-database-and-amazon-sagemaker/
[7] https://docs.aws.amazon.com/managedservices/latest/onboardingguide/create-iam-role.html
[8] https://docs.aws.amazon.com/opensearch-service/latest/developerguide/ac.html