View a markdown version of this page

Gewähren Sie Amazon SageMaker Clarify Jobs Zugriff auf Ressourcen in Ihrer Amazon VPC - Amazon SageMaker KI
Konfigurieren Sie einen SageMaker Clarify-Job für Amazon VPC AccessKonfigurieren Sie Ihre private Amazon VPC für SageMaker Clarify-Jobs

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Gewähren Sie Amazon SageMaker Clarify Jobs Zugriff auf Ressourcen in Ihrer Amazon VPC

Um den Zugriff auf Ihre Daten und SageMaker Clarify-Jobs zu kontrollieren, empfehlen wir Ihnen, eine private Amazon-VPC zu erstellen und sie so zu konfigurieren, dass Ihre Jobs nicht über das öffentliche Internet zugänglich sind. Informationen zum Erstellen und Konfigurieren einer Amazon VPC für die Verarbeitung von Aufträgen finden Sie unter Gewähren Sie SageMaker Verarbeitungsaufträgen Zugriff auf Ressourcen in Ihrer Amazon VPC.

In diesem Dokument wird erklärt, wie Sie zusätzliche Amazon VPC-Konfigurationen hinzufügen, die die Anforderungen für SageMaker Clarify-Jobs erfüllen.

Konfigurieren Sie einen SageMaker Clarify-Job für Amazon VPC Access

Sie müssen Subnetze und Sicherheitsgruppen angeben, wenn Sie Ihre private Amazon VPC für SageMaker Clarify-Jobs konfigurieren und damit der Job bei der Berechnung von Bias-Metriken und Feature-Beiträgen, die zur Erklärung von Modellvorhersagen beitragen, Rückschlüsse aus dem SageMaker KI-Modell ziehen kann.

SageMaker Clarify Job: Amazon VPC-Subnetze und Sicherheitsgruppen

Subnetze und Sicherheitsgruppen in Ihrer privaten Amazon VPC können auf unterschiedliche Weise einem SageMaker Clarify-Job zugewiesen werden, je nachdem, wie Sie den Job erstellen.

  • SageMaker AI-Konsole: Geben Sie diese Informationen an, wenn Sie den Job im SageMaker AI-Dashboard erstellen. Wählen Sie im Menü Verarbeitung die Option Verarbeitungsaufträge und anschließend Verarbeitungsauftrag erstellen. Wählen Sie im Bereich Netzwerk die Option VPC aus und geben Sie die Subnetze und Sicherheitsgruppen mithilfe der Dropdown-Listen an. Stellen Sie sicher, dass die in diesem Bereich angegebene Option zur Netzwerkisolierung ausgeschaltet ist.

  • SageMaker API: Verwenden Sie den NetworkConfig.VpcConfig Anforderungsparameter der CreateProcessingJob API, wie im folgenden Beispiel gezeigt:

    "NetworkConfig": {
    "VpcConfig": {
        "Subnets": [
            "subnet-0123456789abcdef0",
            "subnet-0123456789abcdef1",
            "subnet-0123456789abcdef2"
        ],
        "SecurityGroupIds": [
            "sg-0123456789abcdef0"
        ]
    }
}

  • SageMaker Python SDK: Verwenden Sie den NetworkConfig Parameter der SageMakerClarifyProcessor API oder Processor API, wie im folgenden Beispiel gezeigt:

    from sagemaker.network import NetworkConfig
network_config = NetworkConfig(
    subnets=[
        "subnet-0123456789abcdef0",
        "subnet-0123456789abcdef1",
        "subnet-0123456789abcdef2",
    ],
    security_group_ids=[
        "sg-0123456789abcdef0",
    ],
)

SageMaker AI verwendet die Informationen, um Netzwerkschnittstellen zu erstellen und sie an den SageMaker Clarify-Job anzuhängen. Die Netzwerkschnittstellen stellen einen SageMaker Clarify-Job mit einer Netzwerkverbindung innerhalb Ihrer Amazon VPC bereit, die nicht mit dem öffentlichen Internet verbunden ist. Sie ermöglichen es dem SageMaker Clarify-Job auch, eine Verbindung zu Ressourcen in Ihrer privaten Amazon-VPC herzustellen.

Anmerkung

Die Netzwerkisolationsoption des SageMaker Clarify-Jobs muss deaktiviert sein (standardmäßig ist die Option deaktiviert), damit der Clarify-Job SageMaker mit dem Shadow-Endpunkt kommunizieren kann.

Ein Modell von Amazon VPC for Inference konfigurieren

Um die Messwerte und die Erklärbarkeit von Verzerrungen nach dem Training zu berechnen, muss der SageMaker Clarify-Job Rückschlüsse aus dem SageMaker KI-Modell ziehen, das durch den model_name Parameter der Analysekonfiguration für den SageMaker Clarify-Verarbeitungsjob spezifiziert ist. Wenn Sie alternativ die SageMakerClarifyProcessor API im SageMaker AI Python SDK verwenden, muss der Job die von der Klasse model_name angegebenen Werte erhalten. ModelConfig Um dies zu erreichen, erstellt der SageMaker Clarify-Job einen kurzlebigen Endpunkt mit dem Modell, einen sogenannten Shadow-Endpunkt, und wendet dann die Amazon VPC-Konfiguration des Modells auf den Shadow-Endpunkt an.

Um Subnetze und Sicherheitsgruppen in Ihrer privaten Amazon-VPC für das SageMaker AI-Modell anzugeben, verwenden Sie den VpcConfig Anforderungsparameter der CreateModel API oder geben Sie diese Informationen an, wenn Sie das Modell mithilfe des SageMaker AI-Dashboards in der Konsole erstellen. Im Folgenden sehen Sie ein Beispiel des Parameters VpcConfig, den Sie in Ihrem Aufruf zu CreateModel hinzufügen: 

"VpcConfig": {
    "Subnets": [
        "subnet-0123456789abcdef0",
        "subnet-0123456789abcdef1",
        "subnet-0123456789abcdef2"
    ],
    "SecurityGroupIds": [
        "sg-0123456789abcdef0"
    ]
}

Sie können die Anzahl der zu startenden Instances des Shadow-Endpunkts mit dem initial_instance_count Parameter der Analysekonfiguration für den SageMaker Clarify-Verarbeitungsauftrag angeben. Wenn Sie die SageMakerClarifyProcessor API im SageMaker AI Python SDK verwenden, muss der Job alternativ den von der ModelConfig Klasse instance_count angegebenen Wert erhalten.

Anmerkung

Auch wenn Sie beim Erstellen des Shadow-Endpunkts nur eine Instanz anfordern, benötigen Sie mindestens zwei Subnetze des Modells ModelConfig in unterschiedlichen Verfügbarkeitszonen. Andernfalls schlägt die Erstellung des Schattenendpunkts mit folgendem Fehler fehl:

ClientError: Fehler beim Hosten des Endpunkts SageMaker-Clarify-Endpoint-XXX: Fehlgeschlagen. Grund: Es konnten nicht mindestens 2 Verfügbarkeitszonen mit dem angeforderten Instanztyp YYY gefunden werden, die sich mit SageMaker AI-Subnetzen überschneiden.

Wenn Ihr Modell Modelldateien in Amazon S3 benötigt, muss das Modell Amazon VPC über einen Amazon S3-VPC-Endpunkt verfügen. Weitere Informationen zum Erstellen und Konfigurieren einer Amazon VPC für SageMaker KI-Modelle finden Sie unterGewähren Sie SageMaker KI-gehosteten Endpunkten Zugriff auf Ressourcen in Ihrer Amazon VPC.

Konfigurieren Sie Ihre private Amazon VPC für SageMaker Clarify-Jobs

Im Allgemeinen können Sie die Schritte unter Configure Your Private VPC for SageMaker Processing befolgen, um Ihre private Amazon VPC für SageMaker Clarify-Jobs zu konfigurieren. Hier sind einige Highlights und besondere Anforderungen für SageMaker Clarify-Jobs.

Verbindung zu Ressourcen außerhalb Ihrer Amazon VPC

Wenn Sie Ihre Amazon VPC so konfigurieren, dass sie keinen öffentlichen Internetzugang hat, sind einige zusätzliche Einstellungen erforderlich, um SageMaker Clarify Jobs Zugriff auf Ressourcen und Dienste außerhalb Ihrer Amazon VPC zu gewähren. Beispielsweise ist ein Amazon S3-VPC-Endpunkt erforderlich, da ein SageMaker Clarify-Job einen Datensatz aus einem S3-Bucket laden und die Analyseergebnisse in einem S3-Bucket speichern muss. Weitere Informationen finden Sie unter Erstellen eines Amazon S3 VPC-Endpunkts für die Erstellungsanleitung. Wenn ein SageMaker Clarify-Job außerdem Rückschlüsse vom Shadow-Endpunkt abrufen muss, muss er mehrere weitere AWS Dienste aufrufen.

  • Erstellen Sie einen VPC-Endpunkt für den Amazon SageMaker API-Service: Der SageMaker Clarify-Job muss den Amazon SageMaker API-Service aufrufen, um den Shadow-Endpunkt zu manipulieren oder um ein SageMaker KI-Modell für die Amazon VPC-Validierung zu beschreiben. Sie können den Anleitungen im AWS PrivateLink Blog „Sicherung aller SageMaker Amazon-API-Aufrufe mit“ folgen, um einen SageMaker Amazon-API-VPC-Endpunkt zu erstellen, der es dem Clarify-Job ermöglicht, die SageMaker Serviceabrufe durchzuführen. Beachten Sie, dass der Servicename des Amazon SageMaker API-Dienstes lautet. Wo region ist der Name der Regioncom.amazonaws.region.sagemaker.api, in der sich Ihre Amazon VPC befindet.

  • Erstellen Sie einen Amazon SageMaker AI Runtime-VPC-Endpunkt: Der SageMaker Clarify-Job muss den Amazon SageMaker AI-Laufzeitservice aufrufen, der die Aufrufe an den Shadow-Endpunkt weiterleitet. Die Einrichtungsschritte ähneln denen für den SageMaker Amazon-API-Service. Beachten Sie, dass der Dienstname des Amazon SageMaker AI Runtime-Dienstes lautet. Wo region ist der Name der Regioncom.amazonaws.region.sagemaker.runtime, in der sich Ihre Amazon VPC befindet.

Konfigurieren Sie die Amazon VPC-Sicherheitsgruppe

SageMaker Stellen Sie klar, dass Jobs die verteilte Verarbeitung unterstützen, wenn zwei oder mehr Verarbeitungsinstanzen auf eine der folgenden Arten spezifiziert werden:

Bei der verteilten Verarbeitung müssen Sie die Kommunikation zwischen den verschiedenen Instances desselben Verarbeitungsauftrags ermöglichen. Konfigurieren Sie dazu eine Regel für Ihre Sicherheitsgruppe, mit der eingehende Verbindungen zwischen Mitgliedern derselben Sicherheitsgruppe zugelassen werden. Weitere Informationen finden Sie unter Sicherheitsgruppenregeln.