AWS SageMaker GroundTruth 权限问题（无法读取清单）

Question

我正在尝试与公共劳动力一起运行简单的 GroundTruth 标记工作。我将图像上传到 S3，开始创建标签作业，使用他们的工具自动生成清单，并明确指定一个角色，该角色肯定对 S3 存储桶（输入和输出）具有权限以及对 SageMaker 的完全访问权限。然后我创建了这个工作（标准的其他东西——我只是想清楚我正在做所有这些）。

起初，一切看起来都很好。所有绿灯都表示正在进行中，并且图像正确显示在数据集所在的底部。然而，几分钟后，状态变为失败，我得到这个：ClientError: Access Denied. Cannot access manifest file: arn:aws:sagemaker:us-east-1:<account number>:labeling-job/<job name> using roleArn: null 在失败的原因中。

我也得到了下面的错误（以前有图像，但现在没有了）：

The specified key <job name>/manifests/output/output.manifest isn't present in the S3 bucket <output bucket>.

我很困惑有几个原因。首先，这是一个超级简单的工作。我只是在尝试做我能想到的最基本的边界框示例。所以这应该是一条经过充分测试的路径。其次，我明确指定了一个角色 arn，所以我不知道为什么它在错误消息中说它为空。这是亚马逊的故障还是我做错了什么？

Answer 1

该角色必须包括 SageMakerFullAccess 和对 S3 存储桶的访问权限，所以看起来您已经掌握了这些内容：)

请检查：

• 创建标签作业的用户拥有 Cognito 权限：https://docs.aws.amazon.com/sagemaker/latest/dg/sms-getting-started-step1.html
• 清单存在并且位于正确的 S3 位置。
• 存储桶与 SageMaker 位于同一区域。
• 存储桶没有任何存储桶策略限制访问。

如果仍然无法解决问题，我建议使用标签作业 ID 等打开支持票。

朱利安 (AWS)

Answer 2

当我尝试写入与之前成功使用的存储桶不同的存储桶时，我遇到了同样的问题。

显然，IAM 角色 ARN 只能分配给特定存储桶的权限。

Answer 3

我建议参考 CloudWatch 日志并查找 CloudWatch>>CloudWatch Logs >> Log groups >> /aws/sagemaker/LabelingJobs 组。我在另一篇帖子中打勾了所有点，但我的预处理 Lambda 函数在我的区域有错误的 id，并且错误在日志中很明显。

Answer 4

有一个错误，有时控制台会显示401 ValidationException: The specified key s3prefix/smgt-out/yourjobname/manifests/output/output.manifest isn't present in the S3 bucket yourbucket. Request ID: a08f656a-ee9a-4c9b-b412-eb609d8ce194 之类的内容，但这不是实际问题。由于某种原因，控制台显示错误的错误消息。如果您使用 API（或 AWS CLI）来 DescribeLabelingJob 喜欢

aws sagemaker describe-labeling-job --labeling-job-name yourjobname

你会看到实际的问题。就我而言，缺少定义 UI 指令的 S3 文件之一。