Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ofrezca a Batch Transform Jobs acceso a los recursos de su Amazon VPC

Para controlar el acceso a tus datos y a los trabajos de transformación por lotes, te recomendamos que crees un Amazon privado VPC y lo configures de forma que no se pueda acceder a tus trabajos a través de la Internet pública. Al crear un modelo, debe especificar su VPC configuración privada especificando subredes y grupos de seguridad. A continuación, especifique el mismo modelo al crear un trabajo de transformación por lotes. Al especificar las subredes y los grupos de seguridad, SageMaker crea interfaces de red elásticas que se asocian a los grupos de seguridad de una de las subredes. Las interfaces de red permiten que los contenedores de su modelo se conecten a los recursos de su. VPC Para obtener información sobre las interfaces de red, consulte Elastic Network Interfaces en la Guía del VPC usuario de Amazon.

Este documento explica cómo añadir VPC configuraciones de Amazon para trabajos de transformación por lotes.

Configurar un trabajo de transformación por lotes para Amazon VPC Access

Para especificar subredes y grupos de seguridad en su VPC entorno privado, utilice el parámetro de VpcConfig solicitud o proporcione esta información al crear un modelo en la SageMaker consola. CreateModelAPI A continuación, especifique el mismo modelo en el parámetro de ModelName solicitud o en el campo Nombre del modelo al crear un trabajo de transformación en la SageMaker consola. CreateTransformJobAPI SageMaker utiliza esta información para crear interfaces de red y conectarlas a los contenedores de modelos. Las interfaces de red proporcionan a sus contenedores modelo una conexión de red VPC interna que no está conectada a Internet. También permiten que su trabajo de transformación se conecte a los recursos de su entorno privadoVPC.

A continuación se muestra un ejemplo del parámetro VpcConfig incluido en su llamada a CreateModel:

VpcConfig: {
      "Subnets": [
          "subnet-0123456789abcdef0",
          "subnet-0123456789abcdef1",
          "subnet-0123456789abcdef2"
          ],
      "SecurityGroupIds": [
          "sg-0123456789abcdef0"
          ]
        }

Si va a crear un modelo mediante la CreateModel API operación, la función de IAM ejecución que utilice para crear el modelo debe incluir los permisos descritos enCreateModel API: Permisos del rol de ejecución, incluidos los siguientes permisos necesarios para un modelo privadoVPC.

Al crear un modelo en la consola, si selecciona Crear un nuevo rol en la sección Configuración del modelo, la AmazonSageMakerFullAccess política utilizada para crear el rol ya contiene estos permisos. Si selecciona Introducir un IAM rol personalizado ARN o Usar un rol existente, el rol ARN que especifique debe tener una política de ejecución asociada con los siguientes permisos.

{
            "Effect": "Allow",
            "Action": [
            "ec2:CreateNetworkInterface",
            "ec2:CreateNetworkInterfacePermission",
            "ec2:DeleteNetworkInterface",
            "ec2:DeleteNetworkInterfacePermission",
            "ec2:DescribeNetworkInterfaces",
            "ec2:DescribeVpcs",
            "ec2:DescribeDhcpOptions",
            "ec2:DescribeSubnets",
            "ec2:DescribeSecurityGroups"

Configure su privacidad VPC para SageMaker Batch Transform

Al configurar la privacidad VPC para sus trabajos de transformación SageMaker por lotes, siga las siguientes pautas. Para obtener información sobre la configuración de unaVPC, consulte Trabajar con subredes VPCs y subredes en la Guía del VPC usuario de Amazon.

Cómo asegurar que las subredes dispongan de suficientes direcciones IP

Sus VPC subredes deben tener al menos dos direcciones IP privadas para cada instancia en un trabajo de transformación. Para obtener más información, consulte VPCTamaño de subred IPv4 en la Guía del VPCusuario de Amazon.

Creación de un VPC punto de conexión Amazon S3

Si configura sus contenedores modelo VPC para que no tengan acceso a Internet, no podrán conectarse a los buckets de Amazon S3 que contienen sus datos, a menos que cree un VPC punto final que permita el acceso. Al crear un VPC punto final, permite que sus contenedores modelo accedan a los depósitos en los que almacena los datos y los artefactos del modelo. Le recomendamos que también cree una política personalizada que permita que solo las solicitudes de su entorno privado accedan VPC a sus depósitos de S3. Para obtener más información, consulte Puntos de enlace para Amazon S3.

Utilizar una política de puntos de enlace personalizados para restringir el acceso a S3

La política de puntos finales predeterminada permite el acceso total a S3 para cualquier usuario o servicio de su empresaVPC. Para restringir aún más el acceso a S3, cree una política de puntos de enlace personalizada. Para obtener más información, consulte Using Endpoint Policies for Amazon S3. También puedes usar una política de buckets para restringir el acceso a tus buckets de S3 únicamente al tráfico que provenga de tu AmazonVPC. Para obtener más información, consulte Using Amazon S3 Bucket Policies.

Restringir la instalación de paquetes en el contenedor de modelos

La política de punto de enlace predeterminada permite a los usuarios instalar paquetes desde los repositorios de Amazon Linux y Amazon Linux 2 en el paquete de capacitación. Si no desea que los usuarios instalen paquetes desde ese repositorio, cree una política de punto de enlace personalizada que deniegue de forma explícita el acceso a los repositorios de Amazon Linux y Amazon Linux 2. A continuación se muestra un ejemplo de una política que deniega el acceso a estos repositorios:

{ 
    "Statement": [ 
      { 
        "Sid": "AmazonLinuxAMIRepositoryAccess",
        "Principal": "*",
        "Action": [ 
            "s3:GetObject" 
        ],
        "Effect": "Deny",
        "Resource": [
            "arn:aws:s3:::packages.*.amazonaws.com/*",
            "arn:aws:s3:::repo.*.amazonaws.com/*"
        ] 
      } 
    ] 
} 

{ 
    "Statement": [ 
        { "Sid": "AmazonLinux2AMIRepositoryAccess",
          "Principal": "*",
          "Action": [ 
              "s3:GetObject" 
              ],
          "Effect": "Deny",
          "Resource": [
              "arn:aws:s3:::amazonlinux.*.amazonaws.com/*" 
              ] 
         } 
    ] 
} 

Configurar tablas de ruteo

Utilice la DNS configuración predeterminada para la tabla de rutas de puntos finales, de modo que se resuelva el Amazon S3 estándar URLs (por ejemplohttp://s3-aws-region.amazonaws.com/amzn-s3-demo-bucket). Si no utiliza la DNS configuración predeterminada, asegúrese de que la URLs que utiliza para especificar las ubicaciones de los datos en sus trabajos de transformación por lotes se resuelva configurando las tablas de rutas de los puntos finales. Para obtener información sobre las tablas de enrutamiento de puntos VPC finales, consulte Enrutamiento para puntos de enlace de puerta de enlace en la Guía del VPC usuario de Amazon.

Configure el grupo VPC de seguridad

En la transformación por lotes distribuida, debe permitir la comunicación entre distintos contenedores en el mismo trabajo de transformación por lotes. Para ello, configure una regla para el grupo de seguridad que permita conexiones entrantes y salientes entre miembros del mismo grupo de seguridad. Los miembros del mismo grupo de seguridad deben poder comunicarse entre sí en todos los puertos. Para obtener más información, consulte Reglas del grupo de seguridad.

Conéctese a recursos ajenos a su VPC

Si configura el suyo VPC para que no tenga acceso a Internet, transforme por lotes los trabajos que VPC utilice sin acceso a recursos ajenos al suyoVPC. Si su trabajo de transformación por lotes necesita acceso a recursos ajenos al suyoVPC, proporcione acceso con una de las siguientes opciones: