Configuración de políticas de control de servicio para programaciones de supervisión

Debe especificar los parámetros de un trabajo de monitoreo al crear o actualizar un cronograma para el mismo con el CreateMonitoringScheduleAPIo el UpdateMonitoringScheduleAPI, respectivamente. En función de su caso de uso, puede hacer esto de una de las siguientes formas:

Los procesos antes mencionados se excluyen mutuamente, es decir, puede especificar el campo MonitoringJobDefinition o el campo MonitoringJobDefinitionName al crear o actualizar las programaciones de supervisión.

Al crear una definición de trabajo de supervisión o al especificar una en el campo MonitoringJobDefinition, puede establecer parámetros de seguridad, como NetworkConfig y VolumeKmsKeyId. Como administrador, es posible que desee que estos parámetros estén siempre establecidos en determinados valores, de modo que los trabajos de supervisión se ejecuten siempre en un entorno seguro. Para garantizar esto, configure las políticas de control de servicios adecuadas (SCPs). SCPsson un tipo de política organizacional que puede usar para administrar los permisos en su organización.

El siguiente ejemplo muestra una SCP que puede utilizar para asegurarse de que los parámetros de la infraestructura estén configurados correctamente al crear o actualizar los programas de supervisión de los trabajos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateDataQualityJobDefinition",
                "sagemaker:CreateModelBiasJobDefinition",
                "sagemaker:CreateModelExplainabilityJobDefinition",
                "sagemaker:CreateModelQualityJobDefinition"
            ],
            "Resource": "arn:*:sagemaker:*:*:*",
            "Condition": {
                "Null": {
                    "sagemaker:VolumeKmsKey":"true",
                    "sagemaker:VpcSubnets": "true",
                    "sagemaker:VpcSecurityGroupIds": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateDataQualityJobDefinition",
                "sagemaker:CreateModelBiasJobDefinition",
                "sagemaker:CreateModelExplainabilityJobDefinition",
                "sagemaker:CreateModelQualityJobDefinition"
            ],
            "Resource": "arn:*:sagemaker:*:*:*",
            "Condition": {
                "Bool": {
                    "sagemaker:InterContainerTrafficEncryption": "false"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateMonitoringSchedule",
                "sagemaker:UpdateMonitoringSchedule",
            ],
            "Resource": "arn:*:sagemaker:*:*:monitoring-schedule/*",
            "Condition": {
                "Null": {
                    "sagemaker:ModelMonitorJobDefinitionName": "true"
                }
            }
        }
    ]
}
    

Las dos primeras reglas del ejemplo garantizan que los parámetros de seguridad estén siempre configurados para supervisar las definiciones de los trabajos. La regla final exige que cualquier persona de su organización que cree o actualice una programación tenga que especificar siempre el campo MonitoringJobDefinitionName. Esto garantiza que nadie de su organización pueda establecer valores inseguros para los parámetros de seguridad al especificar el campo MonitoringJobDefinition al crear o actualizar las programaciones.