Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifre sus datos de SageMaker Canvas con AWS KMS

Es posible que tenga datos que desee cifrar mientras usa Amazon SageMaker Canvas, como la información privada de su empresa o los datos de sus clientes. SageMaker Canvas utiliza AWS Key Management Service para proteger sus datos. AWS KMS es un servicio que puede usar para crear y administrar claves criptográficas para cifrar sus datos. Para obtener más información al respecto AWS KMS, consulte AWS Key Management Servicela Guía para AWS KMS desarrolladores.

Amazon SageMaker Canvas le ofrece varias opciones para cifrar sus datos. SageMaker Canvas proporciona un cifrado predeterminado en la aplicación para tareas como la creación del modelo y la generación de información. También puede optar por cifrar los datos almacenados en Amazon S3 para proteger sus datos en reposo. SageMaker Canvas admite la importación de conjuntos de datos cifrados, por lo que puede establecer un flujo de trabajo cifrado. En las siguientes secciones se describe cómo puede utilizar el AWS KMS cifrado para proteger sus datos al crear modelos con SageMaker Canvas.

Cifre sus datos en Canvas SageMaker

Con SageMaker Canvas, puede usar dos claves de AWS KMS cifrado diferentes para cifrar sus datos en SageMaker Canvas, que puede especificar al configurar su dominio mediante la configuración de dominio estándar. Estas claves se especifican en los siguientes pasos de configuración del dominio:

Las claves anteriores pueden ser iguales o diferentesKMS.

Requisitos previos

Para usar su propia KMS clave para cualquiera de los fines descritos anteriormente, primero debe conceder permiso al IAM rol de su usuario para usar la clave. A continuación, puedes especificar la KMS clave al configurar tu dominio.

La forma más sencilla de conceder permiso a su rol para usar la clave es modificar la política de claves. Utilice el siguiente procedimiento para conceder a su rol los permisos necesarios.

El método menos preferido es modificar el IAM rol del usuario para otorgarle permisos para usar o administrar la KMS clave. Si utiliza este método, la política de KMS claves también debe permitir la administración del accesoIAM. Para obtener información sobre cómo conceder permisos a una KMS clave mediante el IAM rol del usuario, consulte Especificar KMS claves en las declaraciones IAM de política de la Guía para AWS KMS desarrolladores.

Requisitos previos para previsión de series temporales

Para utilizar su AWS KMS clave para cifrar los modelos de previsión de series temporales en SageMaker Canvas, debe modificar la política de claves de la KMS clave utilizada para almacenar objetos en Amazon S3. Su política de claves debe conceder permisos aAmazonSageMakerCanvasForecastRole, lo que se SageMaker crea al conceder permisos de previsión de series temporales a sus usuarios. Amazon Forecast lo utiliza AmazonSageMakerCanvasForecastRole para realizar operaciones de previsión de series temporales en SageMaker Canvas. Su KMS clave debe conceder permisos para esta función a fin de garantizar que los datos estén cifrados para la previsión de series temporales.

Para modificar los permisos de su política de KMS claves para permitir la previsión cifrada de series temporales, haga lo siguiente.

Ahora puede usar su KMS clave para cifrar las operaciones de previsión de series temporales en Canvas. SageMaker

{
            "Sid": "Enable IAM Permissions for Amazon Forecast KMS access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "<arn:aws:iam::111122223333:role/AmazonSageMaker-111122223333>"
            },
            "Action": [
                    "kms:Decrypt", 
                    "kms:DescribeKey",
                    "kms:CreateGrant",
                    "kms:RetireGrant",
                    "kms:GenerateDataKey" 
                    "kms:GenerateDataKeyWithoutPlainText",
            ],
            "Resource": "*"
}

Cifre sus datos en la aplicación SageMaker Canvas

La primera KMS clave que puede usar en SageMaker Canvas se usa para cifrar los datos de la aplicación almacenados en los volúmenes de Amazon Elastic Block Store (AmazonEBS) y en el Amazon Elastic File System que se SageMaker crea en su dominio. SageMaker Canvas cifra los datos con esta clave en la aplicación subyacente y en los sistemas de almacenamiento temporal que se crean al utilizar instancias de cómputo para crear modelos y generar información. SageMaker Canvas transfiere la clave a otros AWS servicios, como el piloto automático, cada vez que SageMaker Canvas inicia trabajos con ellos para procesar sus datos.

Puede especificar esta clave configurándola KmsKeyID en la CreateDomain API llamada o mientras realiza la configuración de dominio estándar en la consola. Si no especifica su propia KMS clave, SageMaker utiliza una KMS clave AWS administrada predeterminada para cifrar sus datos en la aplicación SageMaker Canvas.

Para especificar tu propia KMS clave para usarla en la aplicación SageMaker Canvas a través de la consola, primero configura tu SageMaker dominio de Amazon mediante la configuración estándar. Utilice el siguiente procedimiento para completar la sección de red y almacenamiento del dominio.

Cifre los datos de SageMaker Canvas guardados en Amazon S3

La segunda KMS clave que puede especificar se usa para los datos que SageMaker Canvas almacena en Amazon S3. Esta KMS clave se especifica en el S3KMSKeyId campo de la CreateDomain API llamada o al realizar la configuración estándar del dominio en la SageMaker consola. SageMaker Canvas guarda los duplicados de sus conjuntos de datos de entrada, datos de aplicaciones y modelos y datos de salida en el depósito SageMaker S3 predeterminado de la región para su cuenta. El patrón de nomenclatura de este depósito ess3://sagemaker-{Region}-{your-account-id}, y SageMaker Canvas almacena los datos en la Canvas/ carpeta.

Importación de conjuntos de datos cifrados desde Amazon S3

Es posible que sus usuarios tengan conjuntos de datos cifrados con una KMS clave. Si bien en la sección anterior se muestra cómo cifrar los datos en SageMaker Canvas y los datos almacenados en Amazon S3, debe conceder a su IAM función de usuario permisos adicionales si desea importar datos de Amazon S3 que ya estén cifrados con AWS KMS.

Para conceder a sus usuarios permisos para importar conjuntos de datos cifrados de Amazon S3 a SageMaker Canvas, añada los siguientes permisos a la función de IAM ejecución que ha utilizado para el perfil de usuario.

      "kms:Decrypt",
      "kms:GenerateDataKey"
   

Para obtener información sobre cómo editar los IAM permisos de un rol, consulte Agregar y eliminar permisos de IAM identidad en la Guía del IAM usuario. Para obtener más información sobre KMS las claves, consulte las políticas clave AWS Key Management Service en la Guía para AWS KMS desarrolladores.

FAQs

Consulte los siguientes FAQ elementos para obtener respuestas a las preguntas más frecuentes sobre el AWS KMS soporte de SageMaker Canvas.