Saltar al contenido principal
En lugar de preparar a mano solicitudes a la API y políticas de IAM, un agente de programación puede crear el conector del proyecto, crear en tu cuenta de AWS un rol de IAM de solo lectura que Fastino puede asumir, probar la conexión e iniciar una instantánea inmutable del conjunto de datos. Mantienes el control del bucket. Fastino importa los datos seleccionados a tu proyecto de Fastino sin recibir tus claves de acceso de AWS.

Qué debes proporcionar

  • El nombre del bucket y, opcionalmente, un prefijo de claves como incoming/.
  • El nombre o ID del proyecto de Fastino.
  • El uso de los datos: training o evaluation.
El agente obtiene la región y la cuenta del bucket desde tu sesión autenticada de AWS CLI. Elige el nombre del rol de IAM que crea, y los nombres del conector y del conjunto de datos pueden derivarse del nombre del bucket.

Antes de empezar

Conecta tu agente al endpoint MCP de Fastino de tu equipo:
Después, confirma que AWS CLI está autenticada en la cuenta propietaria del bucket:
Tu identidad de AWS también debe poder crear roles de IAM y adjuntar políticas en línea en esa cuenta, por ejemplo con iam:CreateRole, iam:UpdateAssumeRolePolicy y iam:PutRolePolicy.
Crea el rol en la cuenta propietaria del bucket. Una política de bucket o una política de control de servicios que deniegue el rol sigue bloqueando a Fastino, aunque las políticas del propio rol permitan la lectura.

Pide la conexión al agente

Qué hace el agente

La respuesta del conector incluye s3_setup: external_id (un valor exclusivo de este conector que exige la política de confianza del rol; no es secreto), broker_role_arn (el rol de Fastino autorizado a asumir el tuyo), los documentos de política de IAM trust_policy y read_policy, y setup_commands (comandos de AWS CLI que crean o reparan el rol). El rol no necesita existir al crear el conector. El agente ejecuta setup_commands con tus credenciales de AWS, prueba el acceso de solo listado e inicia la sincronización.

Resultados de la sincronización

Una sincronización convierte y valida los archivos del prefijo seleccionado antes de publicar conjuntos de datos. Una sincronización correcta enumera sus conjuntos de datos en el informe.
  • Si un archivo no supera la validación, la sincronización falla y no publica ningún conjunto de datos. El informe indica los archivos que debes revisar. El agente transmite esos fallos y pregunta antes de excluir archivos o cambiar el prefijo.
  • Si la conversión de documentos alcanza un límite de frecuencia, el informe se marca como partial (los conjuntos listados se pueden usar, pero faltan algunos archivos) o transient (no se publicó nada nuevo) e incluye retryable_files. Pide al agente que vuelva a sincronizar sin volver a probar ni cambiar el prefijo.
  • La sincronización es opcional si delegas un ajuste fino mediante Fastino MCP. Después de que apruebes el plan, el agente de ajuste fino puede inspeccionar y preprocesar los archivos sin procesar del bucket conectado.

Modelo de seguridad

Fastino lee tu bucket asumiendo el rol que creaste. Su política de confianza nombra un único rol de Fastino y exige el ID externo de este conector, por lo que ningún otro principal de AWS ni otro cliente de Fastino puede usarlo. La política de lectura permite s3:ListBucket sobre el prefijo seleccionado y s3:GetObject sobre las claves que contiene, sin acceso de escritura, eliminación ni configuración del bucket. Las sesiones de Fastino en tu rol son temporales y duran como máximo una hora. No se aceptan claves de acceso, claves secretas ni tokens de sesión. Cambiar el prefijo o el rol del conector lo devuelve a pending hasta que se vuelva a probar. Tras cambiar el prefijo, vuelve a ejecutar los nuevos s3_setup.setup_commands para que la política de lectura del rol coincida. Eliminar un conector detiene las sincronizaciones futuras, pero no elimina los conjuntos de datos ya publicados. Para revocar el acceso al almacenamiento, elimina los permisos de lectura del rol y revoca sus sesiones activas. Los cambios de IAM pueden tardar en propagarse.

Comparte el conector con tu equipo

Un conector pertenece a un único proyecto de Fastino, y un proyecto solo es visible para quien lo creó salvo que su visibilidad sea team. Crea el proyecto como proyecto de equipo, por ejemplo pidiendo a tu agente que lo cree con visibilidad de equipo, para que los miembros con los permisos de equipo necesarios vean el conector, lo sincronicen y hagan ajuste fino con sus conjuntos de datos. Los miembros del equipo no necesitan acceso a AWS: Fastino lee el bucket con el rol de IAM que creaste, no con la cuenta del miembro. Solo quien configura el conector necesita permisos de AWS. No pidas a los miembros que creen un segundo conector para el mismo bucket en su propio proyecto; eso repite la configuración y requiere su propio acceso a AWS.

Solución de problemas

Cuando AWS devuelve un código de error, el resultado de la prueba lo incluye en provider_error_code. Los cambios de IAM suelen aplicarse en segundos, pero pueden tardar más. El agente debe repetir la prueba antes de crear otro conector.