本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

添加所需的使用权限 AWS Lambda 用 Ground Truth

您可能需要配置以下部分或全部内容，才能在 Ground Truth 中创建和使用 AWS Lambda 。

使用以下部分了解如何创建 IAM 实体并授予上述权限。

授予创建和选择权限 AWS Lambda 函数

如果您不需要精细权限来开发注释前和注释后的 Lambda 函数，则可以将托管AWSLambda_FullAccess策略附加 AWS 到用户或角色。该策略授予使用所有 Lambda 功能的广泛权限，以及在 Lambda 与之交互的其他 AWS 服务中执行操作的权限。

要为对安全敏感的用例创建更精细的策略，请参阅 AWS Lambda 开发人员指南中针对 Lambda 的 Identity-based IAM 策略文档，了解如何创建适合您的用例的 IAM 策略。

使用 Lambda 控制台的策略

如果您想授予 IAM 实体使用 Lambda 控制台的权限，请参阅开发人员指南中的使用 Lambda 控制台。 AWS Lambda

此外，如果您希望用户能够 AWS Serverless Application Repository 在 Lambda 控制台中使用访问和部署 Ground Truth 入门预注释和标注后函数，则必须指定要部署函数<aws-region>的位置（这应该与用于创建标签任务的 AWS 区域相同），并将以下策略添加到 IAM 角色。

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "serverlessrepo:ListApplicationVersions",
                "serverlessrepo:GetApplication",
                "serverlessrepo:CreateCloudFormationTemplate"
            ],
            "Resource": "arn:aws:serverlessrepo:us-east-1:838997950401:applications/aws-sagemaker-ground-truth-recipe"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": "serverlessrepo:SearchApplications",
            "Resource": "*"
        }
    ]
}

在 Ground Truth 控制台中查看 Lambda 函数的策略

要授予 IAM 实体在用户创建自定义标注作业时在 Ground Truth 控制台中查看 Lambda 函数的权限，该实体必须具有授予 IAM 使用亚马逊 G SageMaker round Truth 控制台的权限中所述的权限，包括自定义标注工作流权限部分中所述权限。

授予 IAM 执行角色调用权限 AWS Lambda 函数

如果您将 IAM 托管策略AmazonSageMakerGroundTruthExecution添加到用于创建标签任务的 IAM 执行角色，则该角色有权列出和调用函数名称中包含以下字符串之一的 Lambda 函数：GtRecipe、、、SageMakerSagemakersagemaker、或。LabelingFunction

如果注释前或注释后 Lambda 函数名称不包括上一段中的任何术语，或者您需要比 AmazonSageMakerGroundTruthExecution 托管策略中更细粒度的权限，您可以添加与下面类似的策略，以授予执行角色调用注释前和注释后函数的权限。

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:InvokeFunction",
            "Resource": [
                "arn:aws:lambda:us-east-1:111122223333:function:<pre-annotation-lambda-name>",
                "arn:aws:lambda:us-east-1:111122223333:function:<post-annotation-lambda-name>"
            ]
        }
    ]
}

授予 Post-Annotation Lambda 访问注解的权限

如Post-annotation Lambda中所述，注释后 Lambda 请求包括注释数据在 Amazon S3 中的位置。此位置由 payload 对象中的 s3Uri 字符串标识。要处理传入的注释，即使是简单的传递函数，也需要为注释后 Lambda 执行角色分配必要的权限，以便从 Amazon S3 读取文件。

您可以通过多种方式配置 Lambda 以访问 Amazon S3 中的注释数据。两种常见的方法是：

使用以下部分了解如何配置这些选项。

向 Lambda 授予担任 SageMaker AI 执行角色的权限

要允许 Lambda 函数担任 SageMaker AI 执行角色，您必须将策略附加到 Lambda 函数的执行角色，并修改 SageMaker AI 执行角色的信任关系以允许 Lambda 担任该角色。

授予 Lambda 执行角色访问 S3 的权限

您可以将类似于以下内容的策略添加到注释后 Lambda 函数执行角色，以授予其 S3 读取权限。amzn-s3-demo-bucket替换为您在创建标注任务时指定的输出存储桶的名称。

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

要在 Lambda 控制台中为 Lambda 执行角色添加 S3 读取权限，请使用以下过程。