Een data engineer configureert Amazon SageMaker Studio om AWS Glue interactieve sessies te gebruiken voor datavoorbereiding, maar ontvangt een AccessDenied-fout bij het voorbereiden van data. Welke wijziging moet de engineer aanbrengen om toegang te krijgen tot SageMaker Studio?

De juiste oplossing is het toevoegen van een policy aan de IAM-gebruiker van de data engineer die de sts:AssumeRole-actie voor de AWS Glue en SageMaker service principals in de trust policy omvat. Wanneer SageMaker Studio interactieve sessies met AWS Glue gebruikt, moet de gebruiker de mogelijkheid hebben om de IAM-rol aan te nemen die aan de Glue-sessie is gekoppeld. De sts:AssumeRole-actie is hiervoor essentieel, omdat deze de gebruiker toestaat om tijdelijke beveiligingsreferenties te verkrijgen en namens een andere rol te handelen. Het toevoegen van de AWSGlueServiceRole managed policy aan de IAM-gebruiker is onvoldoende, omdat deze policy de machtigingen definieert die de Glue-service zelf nodig heeft, niet de machtiging voor een gebruiker om die service te initiëren via SageMaker Studio. De AmazonSageMakerFullAccess managed policy geeft brede toegang tot SageMaker, maar omvat niet specifiek de sts:AssumeRole-actie die nodig is om Glue-sessies te initiëren vanuit SageMaker Studio. De sts:AddAssociation-actie is irrelevant voor dit scenario; deze actie wordt gebruikt voor het associëren van resources, niet voor het aannemen van rollen.