Amazon SageMaker Canvas in einer VPC ohne Internetzugang konfigurieren

Die Amazon SageMaker Canvas-Anwendung wird in einem Container in einer AWS verwalteten Amazon Virtual Private Cloud (VPC) ausgeführt. Wenn Sie den Zugriff auf Ihre Ressourcen weiter kontrollieren oder SageMaker Canvas ohne öffentlichen Internetzugang ausführen möchten, können Sie Ihre Amazon SageMaker AI-Domain- und VPC-Einstellungen konfigurieren. In Ihrer eigenen VPC können Sie Einstellungen wie Sicherheitsgruppen (virtuelle Firewalls, die den ein- und ausgehenden Datenverkehr von EC2 Amazon-Instances kontrollieren) und Subnetze (Bereiche von IP-Adressen in Ihrer VPC) konfigurieren. Weitere Informationen finden Sie VPCs unter So funktioniert Amazon VPC.

Wenn die SageMaker Canvas-Anwendung in der AWS verwalteten VPC ausgeführt wird, kann sie entweder über eine Internetverbindung oder über VPC-Endpunkte, die in einer vom Kunden verwalteten VPC (ohne öffentlichen Internetzugang) erstellt wurden, mit anderen AWS Diensten interagieren. SageMaker Canvas-Anwendungen können über eine von Studio Classic erstellte Netzwerkschnittstelle auf diese VPC-Endpoints zugreifen, die Konnektivität zur vom Kunden verwalteten VPC bereitstellt. Das Standardverhalten der SageMaker Canvas-Anwendung besteht darin, Internetzugang zu haben. Wenn Sie eine Internetverbindung verwenden, greifen die Container für die vorherigen Jobs über das Internet auf AWS Ressourcen zu, z. B. die Amazon-S3-Buckets, in denen Sie Trainingsdaten und Modellartefakte speichern.

Wenn Sie jedoch Sicherheitsanforderungen haben, um den Zugriff auf Ihre Daten- und Jobcontainer zu kontrollieren, empfehlen wir Ihnen, SageMaker Canvas und Ihre VPC so zu konfigurieren, dass Ihre Daten und Container nicht über das Internet zugänglich sind. SageMaker AI verwendet die VPC-Konfigurationseinstellungen, die Sie bei der Einrichtung Ihrer Domain für SageMaker Canvas angeben.

Wenn Sie Ihre SageMaker Canvas-Anwendung ohne Internetzugang konfigurieren möchten, müssen Sie Ihre VPC-Einstellungen konfigurieren, wenn Sie in die Amazon SageMaker AI-Domain einsteigen, VPC-Endpunkte einrichten und die erforderlichen Berechtigungen erteilen. AWS Identity and Access Management Informationen zur Konfiguration einer VPC in Amazon SageMaker AI finden Sie unterWählen Sie eine Amazon VPC. In den folgenden Abschnitten wird beschrieben, wie SageMaker Canvas in einer VPC ohne öffentlichen Internetzugang ausgeführt wird.

Amazon SageMaker Canvas in einer VPC ohne Internetzugang konfigurieren

Sie können Traffic von SageMaker Canvas über Ihre eigene VPC an andere AWS Dienste senden. Wenn Ihre eigene VPC keinen öffentlichen Internetzugang hat und Sie Ihre Domain nur im VPC-Modus eingerichtet haben, hat SageMaker Canvas auch keinen öffentlichen Internetzugang. Dazu gehören alle Anfragen, z. B. der Zugriff auf Datensätze in Amazon S3 oder Trainingsjobs für Standard-Builds, und die Anfragen werden über VPC-Endpunkte in Ihrer VPC statt über das öffentliche Internet abgewickelt. Beim Onboarding von Domain und Wählen Sie eine Amazon VPC können Sie Ihre eigene VPC als Standard-VPC für die Domain angeben, zusammen mit den gewünschten Sicherheitsgruppen- und Subnetzeinstellungen. Anschließend erstellt SageMaker KI eine Netzwerkschnittstelle in Ihrer VPC, die SageMaker Canvas für den Zugriff auf VPC-Endpunkte in Ihrer VPC verwendet.

Stellen Sie sicher, dass Sie in Ihrer VPC eine oder mehrere Sicherheitsgruppen mit Regeln für eingehenden und ausgehenden Datenverkehr einrichten, die TCP-Verkehr innerhalb der Sicherheitsgruppe zulassen. Dies ist für die Konnektivität zwischen der Jupyter Server-Anwendung und den Kernel Gateway-Anwendungen erforderlich. Sie müssen den Zugriff auf mindestens Ports im Bereich 8192-65535 zulassen. Stellen Sie außerdem sicher, dass Sie für jedes Benutzerprofil eine eigene Sicherheitsgruppe erstellen und eingehenden Zugriff von derselben Sicherheitsgruppe hinzufügen. Es wird nicht empfohlen, eine Sicherheitsgruppe auf Domänenebene für Benutzerprofile wiederzuverwenden. Wenn die Sicherheitsgruppe auf Domänenebene eingehenden Zugriff auf sich selbst zulässt, haben alle Anwendungen in der Domäne Zugriff auf alle anderen Anwendungen in der Domäne. Beachten Sie, dass die Sicherheitsgruppen- und Subnetzeinstellungen festgelegt werden, nachdem Sie das Onboarding in die Domäne abgeschlossen haben.

Wenn Sie beim Onboarding zur Domain nur öffentliches Internet als Netzwerkzugriffstyp wählen, wird die VPC SageMaker KI-verwaltet und ermöglicht den Internetzugang.

Sie können dieses Verhalten ändern, indem Sie nur VPC auswählen, sodass SageMaker KI den gesamten Datenverkehr an eine Netzwerkschnittstelle sendet, die SageMaker AI in Ihrer angegebenen VPC erstellt. Wenn Sie diese Option wählen, müssen Sie die Subnetze, Sicherheitsgruppen und VPC-Endpunkte bereitstellen, die für die Kommunikation mit der SageMaker API und SageMaker AI Runtime erforderlich sind, sowie verschiedene AWS Dienste wie Amazon S3 und Amazon CloudWatch, die von Canvas verwendet werden. SageMaker Beachten Sie, dass Sie nur Daten aus Amazon-S3-Buckets importieren können, die sich in derselben Region wie Ihre VPC befinden.

Die folgenden Verfahren zeigen, wie Sie diese Einstellungen für die Verwendung von SageMaker Canvas ohne Internet konfigurieren können.

Schritt 1: Einstieg in die Amazon SageMaker AI-Domain

Um SageMaker Canvas-Verkehr an eine Netzwerkschnittstelle in Ihrer eigenen VPC statt über das Internet zu senden, geben Sie die VPC an, die Sie beim Onboarding in die Amazon SageMaker AI-Domain verwenden möchten. Sie müssen außerdem mindestens zwei Subnetze in Ihrer VPC angeben, die SageMaker KI verwenden kann. Wählen Sie Standard-Setup und gehen Sie wie folgt vor, wenn Sie den Netzwerk- und Speicherbereich für die Domain konfigurieren.

Nachdem Sie den Internetzugang deaktiviert haben, schließen Sie den Onboarding-Prozess ab, um Ihre Domain einzurichten. Weitere Informationen zu den VPC-Einstellungen für die Amazon SageMaker AI-Domain finden Sie unterWählen Sie eine Amazon VPC.

Schritt 2: Konfigurieren der VPC-Endpunkte und des Zugriffs

SageMaker Canvas greift nur auf andere AWS Dienste zu, um Daten für seine Funktionalität zu verwalten und zu speichern. Es stellt beispielsweise eine Verbindung zu Amazon Redshift her, wenn Ihre Benutzer auf eine Amazon Redshift-Datenbank zugreifen. Es kann über eine Internetverbindung oder einen VPC-Endpunkt eine Verbindung zu einem AWS Service wie Amazon Redshift herstellen. Verwenden Sie VPC-Endpunkte, wenn Sie Verbindungen von Ihrer VPC zu AWS Diensten einrichten möchten, die das öffentliche Internet nicht nutzen.

Ein VPC-Endpunkt stellt eine private Verbindung zu einem AWS Dienst her, der einen vom öffentlichen Internet isolierten Netzwerkpfad verwendet. Wenn Sie beispielsweise den Zugriff auf Amazon S3 mithilfe eines VPC-Endpunkts von Ihrer eigenen VPC aus einrichten, kann die SageMaker Canvas-Anwendung über die Netzwerkschnittstelle in Ihrer VPC und dann über den VPC-Endpunkt, der eine Verbindung zu Amazon S3 herstellt, auf Amazon S3 zugreifen. Die Kommunikation zwischen SageMaker Canvas und Amazon S3 ist privat.

Weitere Informationen zur Konfiguration von VPC-Endpunkten für Ihre VPC finden Sie unter AWS PrivateLink. Wenn Sie Amazon Bedrock-Modelle in Canvas mit einer VPC verwenden, finden Sie weitere Informationen zur Steuerung des Zugriffs auf Ihre Daten unter Schützen von Aufträgen mithilfe einer VPC im Amazon Bedrock-Benutzerhandbuch.

Im Folgenden sind die VPC-Endpunkte für jeden Service aufgeführt, den Sie mit SageMaker Canvas verwenden können:

Sie müssen auch eine Endpunktrichtlinie für Amazon S3 hinzufügen, um den AWS Prinzipalzugriff auf Ihren VPC-Endpunkt zu kontrollieren. Informationen zur Aktualisierung Ihrer VPC-Endpunktrichtlinie finden Sie unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien.

Im Folgenden sind zwei VPC-Endpunktrichtlinien aufgeführt, die Sie verwenden können. Verwenden Sie die erste Richtlinie, wenn Sie nur Zugriff auf die grundlegenden Funktionen von Canvas gewähren möchten, z. B. auf das Importieren von Daten und das Erstellen von Modellen. Verwenden Sie die zweite Richtlinie, wenn Sie Zugriff auf die zusätzlichen generativen KI-Funktionen in Canvas gewähren möchten.

        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:CreateBucket",
                "s3:GetBucketCors",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::*SageMaker*",
                "arn:aws:s3:::*Sagemaker*",
                "arn:aws:s3:::*sagemaker*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*"
        }

Schritt 3: Erteilen von IAM-Berechtigungen

Der SageMaker Canvas-Benutzer muss über die erforderlichen AWS Identity and Access Management Berechtigungen verfügen, um eine Verbindung zu den VPC-Endpunkten herzustellen. Die IAM-Rolle, der Sie Berechtigungen erteilen, muss dieselbe sein, die Sie beim Onboarding in die Amazon SageMaker AI-Domain verwendet haben. Sie können die von SageMaker KI verwaltete AmazonSageMakerFullAccess Richtlinie an die IAM-Rolle anhängen, damit der Benutzer dem Benutzer die erforderlichen Berechtigungen erteilt. Wenn Sie restriktivere IAM-Berechtigungen benötigen und stattdessen benutzerdefinierte Richtlinien verwenden, geben Sie der Rolle des Benutzers die entsprechende Berechtigung. ec2:DescribeVpcEndpointServices SageMaker Canvas benötigt diese Berechtigungen, um das Vorhandensein der erforderlichen VPC-Endpunkte für Standard-Build-Jobs zu überprüfen. Wenn es diese VPC-Endpunkte erkennt, werden Standard-Build-Jobs standardmäßig in Ihrer VPC ausgeführt. Andernfalls werden sie in der standardmäßigen AWS verwalteten VPC ausgeführt.

Anweisungen zum Anhängen der AmazonSageMakerFullAccess IAM-Richtlinie an die IAM-Rolle Ihres Benutzers finden Sie unter Hinzufügen und Entfernen von IAM-Identitätsberechtigungen.

Gehen Sie wie folgt vor, um der IAM-Rolle Ihres Benutzers das granulare ec2:DescribeVpcEndpointServices Zugriffsrecht zu erteilen.

Die IAM-Rolle des Benutzers sollte jetzt über Berechtigungen für den Zugriff auf die in Ihrer VPC konfigurierten VPC-Endpoints verfügen.

(Optional) Schritt 4: Überschreiben der Sicherheitsgruppeneinstellungen für bestimmte Benutzer

Wenn Sie ein Administrator sind, möchten Sie möglicherweise, dass verschiedene Benutzer unterschiedliche VPC-Einstellungen oder benutzerspezifische VPC-Einstellungen haben. Wenn Sie die standardmäßigen Sicherheitsgruppeneinstellungen der VPC für einen bestimmten Benutzer überschreiben, werden diese Einstellungen an die SageMaker Canvas-Anwendung für diesen Benutzer weitergegeben.

Sie können die Sicherheitsgruppen überschreiben, auf die ein bestimmter Benutzer in Ihrer VPC Zugriff hat, wenn Sie ein neues Benutzerprofil in Studio Classic einrichten. Sie können den CreateUserProfile SageMaker API-Aufruf (oder create_user_profile mit AWS CLI) verwenden und dann in der den UserSettings für den Benutzer angeben. SecurityGroups