Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsseln Sie Ihre SageMaker Canvas-Daten mit AWS KMS

Möglicherweise haben Sie Daten, die Sie bei der Nutzung von Amazon SageMaker Canvas verschlüsseln möchten, z. B. Ihre privaten Unternehmensinformationen oder Kundendaten. SageMaker Canvas verwendet AWS Key Management Service , um Ihre Daten zu schützen. AWS KMS ist ein Dienst, mit dem Sie kryptografische Schlüssel zur Verschlüsselung Ihrer Daten erstellen und verwalten können. Weitere Informationen AWS KMS dazu finden Sie AWS Key Management Serviceim AWS KMS Entwicklerhandbuch.

Amazon SageMaker Canvas bietet Ihnen mehrere Optionen zum Verschlüsseln Ihrer Daten. SageMaker Canvas bietet eine Standardverschlüsselung innerhalb der Anwendung für Aufgaben wie die Erstellung Ihres Modells und die Generierung von Erkenntnissen. Sie können sich auch dafür entscheiden, in Amazon S3 gespeicherte Daten zu verschlüsseln, um Ihre ruhenden Daten zu schützen. SageMaker Canvas unterstützt den Import verschlüsselter Datensätze, sodass Sie einen verschlüsselten Workflow einrichten können. In den folgenden Abschnitten wird beschrieben, wie Sie AWS KMS Verschlüsselung verwenden können, um Ihre Daten beim Erstellen von Modellen mit SageMaker Canvas zu schützen.

Verschlüsseln Sie Ihre Daten in Canvas SageMaker

Mit SageMaker Canvas können Sie zwei verschiedene AWS KMS Verschlüsselungsschlüssel verwenden, um Ihre Daten in SageMaker Canvas zu verschlüsseln. Diese können Sie bei der Einrichtung Ihrer Domain mit dem Standard-Domain-Setup angeben. Diese Schlüssel werden in den folgenden Schritten zur Einrichtung der Domain angegeben:

Bei den vorherigen Schlüsseln kann es sich um dieselben oder um unterschiedliche KMS Schlüssel handeln.

Voraussetzungen

Um Ihren eigenen KMS Schlüssel für einen der zuvor beschriebenen Zwecke verwenden zu können, müssen Sie zunächst der IAM Rolle Ihres Benutzers die Berechtigung zur Verwendung des Schlüssels erteilen. Anschließend können Sie den KMS Schlüssel bei der Einrichtung Ihrer Domain angeben.

Die einfachste Methode, Ihrer Rolle die Erlaubnis zur Verwendung des Schlüssels zu erteilen, besteht darin, die Schlüsselrichtlinie zu ändern. Gehen Sie wie folgt vor, um Ihrer Rolle die erforderlichen Berechtigungen zu erteilen.

Die weniger bevorzugte Methode besteht darin, die IAM Rolle des Benutzers so zu ändern, dass dem Benutzer Berechtigungen zur Verwendung oder Verwaltung des KMS Schlüssels erteilt werden. Wenn Sie diese Methode verwenden, muss die KMS Schlüsselrichtlinie auch die Zugriffsverwaltung zulassenIAM. Informationen dazu, wie Sie einem KMS Schlüssel über die IAM Rolle des Benutzers Berechtigungen erteilen, finden Sie unter Spezifizieren von KMS Schlüsseln in IAM Richtlinienerklärungen im AWS KMS Entwicklerhandbuch.

Voraussetzungen für Zeitreihenprognosen

Um Ihren AWS KMS Schlüssel zur Verschlüsselung von Zeitreihen-Prognosemodellen in SageMaker Canvas zu verwenden, müssen Sie die Schlüsselrichtlinie für den Schlüssel ändern, der KMS zum Speichern von Objekten in Amazon S3 verwendet wird. Ihre Schlüsselrichtlinie muss Berechtigungen für die gewährenAmazonSageMakerCanvasForecastRole, was SageMaker entsteht, wenn Sie Ihren Benutzern Berechtigungen für Zeitreihenprognosen gewähren. Amazon Forecast verwendet dieAmazonSageMakerCanvasForecastRole, um Zeitreihenprognosen in SageMaker Canvas durchzuführen. Ihr KMS Schlüssel muss Berechtigungen für diese Rolle gewähren, um sicherzustellen, dass Daten für Zeitreihenprognosen verschlüsselt werden.

Gehen Sie wie folgt vor, um die Berechtigungen Ihrer KMS Schlüsselrichtlinie so zu ändern, dass verschlüsselte Zeitreihenprognosen möglich sind.

Sie können jetzt Ihren KMS Schlüssel verwenden, um Zeitreihenprognosen in Canvas zu verschlüsseln. SageMaker

{
            "Sid": "Enable IAM Permissions for Amazon Forecast KMS access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "<arn:aws:iam::111122223333:role/AmazonSageMaker-111122223333>"
            },
            "Action": [
                    "kms:Decrypt", 
                    "kms:DescribeKey",
                    "kms:CreateGrant",
                    "kms:RetireGrant",
                    "kms:GenerateDataKey" 
                    "kms:GenerateDataKeyWithoutPlainText",
            ],
            "Resource": "*"
}

Verschlüsseln Sie Ihre Daten in der SageMaker Canvas-Anwendung

Der erste KMS Schlüssel, den Sie in SageMaker Canvas verwenden können, wird für die Verschlüsselung von Anwendungsdaten verwendet, die auf Amazon Elastic Block Store (AmazonEBS) -Volumes und im Amazon Elastic File System gespeichert sind, das in Ihrer Domain SageMaker erstellt wird. SageMaker Canvas verschlüsselt Ihre Daten mit diesem Schlüssel in den zugrunde liegenden Anwendungs- und temporären Speichersystemen, die bei der Verwendung von Compute-Instances für die Erstellung von Modellen und die Generierung von Erkenntnissen erstellt werden. SageMaker Canvas gibt den Schlüssel immer dann an andere AWS Dienste wie Autopilot weiter, wenn SageMaker Canvas mit ihnen Jobs zur Verarbeitung Ihrer Daten initiiert.

Sie können diesen Schlüssel angeben, indem Sie den KmsKeyID im CreateDomain API Anruf oder bei der Standardkonfiguration der Domäne in der Konsole festlegen. Wenn Sie keinen eigenen KMS Schlüssel angeben, SageMaker verwendet er einen AWS verwalteten KMS Standardschlüssel, um Ihre Daten in der SageMaker Canvas-Anwendung zu verschlüsseln.

Um Ihren eigenen KMS Schlüssel für die Verwendung in der SageMaker Canvas-Anwendung über die Konsole anzugeben, richten Sie zunächst Ihre SageMaker Amazon-Domain mit dem Standard-Setup ein. Gehen Sie wie folgt vor, um den Bereich Netzwerk und Speicher für die Domain auszufüllen.

Verschlüsseln Sie Ihre in Amazon S3 gespeicherten SageMaker Canvas-Daten

Der zweite KMS Schlüssel, den Sie angeben können, wird für Daten verwendet, die SageMaker Canvas in Amazon S3 speichert. Dieser KMS Schlüssel wird im S3KMSKeyId Feld des CreateDomain API Aufrufs oder bei der Standarddomäneneinrichtung in der SageMaker Konsole angegeben. SageMaker Canvas speichert Duplikate Ihrer Eingabedatensätze, Anwendungs- und Modelldaten sowie Ausgabedaten im SageMaker Standard-S3-Bucket der Region für Ihr Konto. Das Benennungsmuster für diesen Bucket lautets3://sagemaker-{Region}-{your-account-id}, und SageMaker Canvas speichert Daten im Canvas/ Ordner.

Importieren verschlüsselter Datensätze aus Amazon S3

Ihre Benutzer haben möglicherweise Datensätze, die mit einem KMS Schlüssel verschlüsselt wurden. Im vorherigen Abschnitt wird zwar gezeigt, wie Sie Daten in SageMaker Canvas und Daten, die in Amazon S3 gespeichert sind, verschlüsseln, aber Sie müssen der IAM Rolle Ihres Benutzers zusätzliche Berechtigungen gewähren, wenn Sie Daten aus Amazon S3 importieren möchten, die bereits mit AWS KMS verschlüsselt sind.

Um Ihren Benutzern Berechtigungen zum Importieren verschlüsselter Datensätze aus Amazon S3 in SageMaker Canvas zu gewähren, fügen Sie der IAM Ausführungsrolle, die Sie für das Benutzerprofil verwendet haben, die folgenden Berechtigungen hinzu.

      "kms:Decrypt",
      "kms:GenerateDataKey"
   

Informationen zum Bearbeiten der IAM Berechtigungen für eine Rolle finden Sie unter Hinzufügen und Entfernen von IAM Identitätsberechtigungen im IAMBenutzerhandbuch. Weitere Informationen zu KMS Schlüsseln finden Sie unter Wichtige Richtlinien AWS Key Management Service im AWS KMS Entwicklerhandbuch.

FAQs

In den folgenden Abschnitten FAQ finden Sie Antworten auf häufig gestellte Fragen zur SageMaker AWS KMS Canvas-Unterstützung.