本文档是ModelArts专属池使用的一个子场景说明，主要介绍IAM和各依赖服务的权限配置。

子账号及权限设置：

IAM部分：

创建子账号，创建对应用户组，用户组权限设置如截图：

注意：ECS, VPC, SFS的策略部分有重合，需要特别注意是否存在冲突

增量配置（需配置到子项目）：

如需使用Notebook挂载SFS存储，需增加SFS的“sfsturbo:*:dataAction”细粒度权限。

由于"sfsturbo:*:dataAction"当前在IAM权限已无法直接配置，所以需要先允许所有SFS Turbo权限、再禁用所有写权限。

配置内容json如：

{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "SFSTurbo:*:*"
            ]
        },
        {
            "Effect": "Deny",
            "Action": [
                "sfsturbo:shares:deleteShare",
                "sfsturbo:shares:createShare",
                "sfsturbo:shares:shareAction",
                "sfsturbo:shares:checkShareName"
            ]
        }
    ]
}

OBS部分：

创建一个给对应子账号专用的桶，仅给对应子账号配置权限（“目录读写”模板）

红框是日志下载所需的权限，如果不需要该功能，可以去掉

SWR部分：

如果无法配置“SWR FullAccess”，至少要配置OperateAccess，并单独创建一个SWR组织，且要给对应子账号添加管理权限。

ModelArts部分：

如果组织经常会有人员变动，建议设置给所有用户。这样可以避免配置的麻烦，但是权限配置的会比较大。

如果仅给部分用户使用，可以单独设置给这些用户。

资源准备及验证：

主账号准备好资源：

0.VPC配置，创建一个可以支持打通的VPC。可以支持10网段或者192.168网段（需要将192.168.20.0/24子网留空）。

1.ECS创建，VPC选对，EIP挂好（1M出带宽能够对应10M入带宽，如需更大入带宽需提工单）

2.SFS创建好（和ECS在相同VPC）

3.ECS必备软件安装：

设置华为云镜像源

sudo sed -i "s@http://.*archive.ubuntu.com@http://repo.huaweicloud.com@g" /etc/apt/sources.list
sudo sed -i "s@http://.*security.ubuntu.com@http://repo.huaweicloud.com@g" /etc/apt/sources.list

安装NFS客户端，挂载对应盘

sudo apt-get update
sudo apt-get install -y nfs-common

mkdir -p /mnt/sfs_turbo
#下条命令在SFS盘的详情页获取
mount -t nfs -o vers=3,nolock 192.168.0.169:/ /mnt/sfs_turbo

安装docker

curl https://get.docker.com | sh  && sudo systemctl --now enable docker

4.ModelArts创建专属资源池。

完成后打通和SFS的网络，打通流程如截图：

如需使用开发环境，请进行开发环境初始化，操作如截图：

搞定以后，在子账号验证：

1.EIP,VPC安全组的操作均无创建、删除、修改权限。ECS实例的开关机、修改EIP、修改安全组规则等均无权限。

2.ECS能够正常登陆（堡垒机场景请走堡垒机的通路），ECS能够mount对应硬盘。

3.ModelArts训练任务有权限创建，开发环境有权限创建。

4.ModelArts开发环境可以正常使用专属池资源，可以正常配置ssh登陆。

可以正常挂载SFS共享盘（如已打通VPC且完成特殊权限配置），挂载后“/home/ma-user/work”目录的内容和ECS挂载目录的内容一致。

注意，Notebook必须使用ma-user用户，需要确认文件夹的权限设置合理。

5.ModelArts训练任务可以正常使用专属资源池，可以正常读写SFS共享盘。

使用自定义镜像创建训练任务。启动命令设置为：“touch /sfs/test.log && ls -l /sfs && sleep 30”，挂载路径设置为：“/sfs”。注意验证对应目录的内容和ECS挂载目录的内容一致。