Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ejecute un trabajo de etiquetado de Amazon SageMaker Ground Truth en una Amazon Virtual Private Cloud

Ground Truth admite las siguientes funcionalidades en Amazon VPC.

Es posible que desee utilizar estas opciones de cualquiera de las siguientes formas.

Le recomendamos que revise Requisitos previos para ejecutar un trabajo de etiquetado de Ground Truth en una VPC antes de crear un trabajo de etiquetado en una Amazon VPC.

Requisitos previos para ejecutar un trabajo de etiquetado de Ground Truth en una VPC

Revise los siguientes requisitos previos antes de crear un trabajo de etiquetado de Ground Truth en una Amazon VPC.

Permita a Ground Truth acceder a buckets de Amazon S3 restringidos por VPC

En las siguientes secciones se proporcionan detalles sobre los permisos que Ground Truth necesita para iniciar trabajos de etiquetado con buckets de Amazon S3 que tienen acceso restringido a su VPC y sus puntos de conexión de la VPC. Para obtener información sobre cómo restringir el acceso a un bucket de Amazon S3 a una VPC, consulte Control del acceso desde puntos de conexión de la VPC con políticas de bucket en la guía del usuario de Amazon Simple Storage Service. Para obtener información sobre cómo agregar una política a un bucket S3, consulte Agregar una política de bucket mediante la consola de Amazon S3.

Puede restringir el acceso al bucket de Amazon S3 a los usuarios de su VPC mediante un punto de conexión AWS PrivateLink. Por ejemplo, la siguiente política de bucket S3 permite el acceso a un bucket específico, <bucket-name>, desde <vpc> y el punto de conexión <vpc-endpoint> solo. Al modificar esta política, deberá reemplazar todo el texto en cursiva en rojo por sus recursos y especificaciones.

{
    "Version": "2012-10-17",
    "Id": "Policy1415115909152",
    "Statement": [
        {
            "Sid": "Access-to-specific-VPCE-only",
            "Principal": "*",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Effect": "Deny",
            "Resource": [
                "arn:aws:s3:::<bucket-name>",
                "arn:aws:s3:::<bucket-name>/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:sourceVpce": [
                        "<vpc-endpoint>",
                        "<vpc>"
                    ]
                }
            }
        }
    ]
}

Ground Truth debe poder realizar las siguientes acciones de Amazon S3 en los buckets S3 que utilice para configurar el trabajo de etiquetado.

"s3:AbortMultipartUpload",
"s3:GetObject",
"s3:PutObject",
"s3:ListBucket",
"s3:GetBucketLocation"

Para ello, añada un punto de conexión de Ground Truth a la política de bucket, tal como se ha mencionado anteriormente. La siguiente tabla incluye los puntos finales del servicio Ground Truth para cada AWS región. Añada un punto de conexión en la misma región de AWS que utilice para ejecutar su tarea de etiquetado a su política de bucket.

Por ejemplo, la siguiente política restringe las acciones GetObject y PutObject en:

{
    "Version": "2012-10-17",
    "Id": "1",
    "Statement": [
        {
            "Sid": "DenyAccessFromNonGTandCustomerVPC",
            "Effect": "Deny",
            "Principal": "*",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::<bucket-name>",
                "arn:aws:s3:::<bucket-name>/*"
            ],
            "Condition": {
                "ForAllValues:StringNotEquals": {
                    "aws:sourceVpce": [
                        "<vpc-endpoint>",
                        "<ground-truth-endpoint>"
                    ],
                    "aws:SourceVpc": "<vpc>"
                }
            }
        }
    ]
}

Si desea que un usuario tenga permiso para iniciar un trabajo de etiquetado mediante la consola Ground Truth, también debe añadir el ARN del usuario a la política de bucket mediante la condición aws:PrincipalArn. Este usuario también debe tener permiso para realizar las siguientes acciones de Amazon S3 en el bucket que utilice para lanzar el trabajo de etiquetado.

"s3:GetObject",
"s3:PutObject",
"s3:ListBucket",
"s3:GetBucketCors",
"s3:PutBucketCors",
"s3:ListAllMyBuckets",

El siguiente código es un ejemplo de una política de bucket que restringe el permiso para realizar las acciones enumeradas en Action en el bucket <bucket-name> de S3 al siguiente.

{
    "Version": "2012-10-17",
    "Id": "1",
    "Statement": [
        {
            "Sid": "DenyAccessFromNonGTandCustomerVPC",
            "Effect": "Deny",
            "Principal": "*",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::<bucket-name>/*",
                "arn:aws:s3:::<bucket-name>"
            ],
            "Condition": {
                "ForAllValues:StringNotEquals": {
                    "aws:sourceVpce": [
                        "<vpc-endpoint>",
                        "<ground-truth-endpoint>"
                    ],
                    "aws:PrincipalArn": "arn:aws:iam::<aws-account-id>:role/<role-name>",
                    "aws:SourceVpc": "<vpc>"
                }
            }
        }
    ]
}

Tras conceder el permiso a Ground Truth para acceder a sus buckets de Amazon S3, puede utilizar alguno de los temas de Crear un trabajo de etiquetado para iniciar un trabajo de etiquetado. Especifique los buckets de Amazon S3 restringidos por VPC para sus buckets de datos de entrada y salida.

Creación de un trabajo de etiquetado de datos automatizado en una VPC

Para crear un trabajo de etiquetado de datos automatizado con una Amazon VPC, debe proporcionar una configuración de VPC mediante la consola Ground Truth o la operación de la API CreateLabelingJob. SageMaker utiliza las subredes y los grupos de seguridad que usted proporciona para lanzar los trabajos de formación e inferencias que se utilizan para el etiquetado automatizado.

Utilice los siguientes procedimientos para aprender a añadir una configuración de VPC a su solicitud de trabajo de etiquetado.

Agregue una configuración de VPC a un trabajo de etiquetado de datos (API) automatizado:

Para configurar un trabajo de etiquetado mediante la operación de la API de Ground Truth, CreateLabelingJob, siga las instrucciones de Crear un trabajo de etiquetado de datos automatizado (API) para configurar su solicitud. Además de los parámetros descritos en esta documentación, debe incluir un parámetro VpcConfig en LabelingJobResourceConfig para especificar una o más subredes y grupos de seguridad mediante el siguiente esquema.

"LabelingJobAlgorithmsConfig": { 
      "InitialActiveLearningModelArn": "string",
      "LabelingJobAlgorithmSpecificationArn": "string",
      "LabelingJobResourceConfig": { 
         "VolumeKmsKeyId": "string",
         "VpcConfig": { 
            "SecurityGroupIds": [ "string" ],
            "Subnets": [ "string" ]
         }
      }
}

A continuación se ofrece un ejemplo de una solicitud de AWS Python SDK (Boto3) para crear un trabajo de etiquetado de datos automatizado en la región del este de EE. UU. (Norte de Virginia) utilizando una fuerza de trabajo privada. Sustituya todo el texto en cursiva en rojo por los recursos y las especificaciones de su trabajo de etiquetado. Para obtener más información sobre la CreateLabelingJob operación, consulte el tutorial Create a Labeling Job (API) y la documentación de CreateLabelingJob API.

import boto3
client = boto3.client(service_name='sagemaker')

response = client.create_labeling_job(
    LabelingJobName="example-labeling-job",
    LabelAttributeName="label",
    InputConfig={
        'DataSource': {
            'S3DataSource': {
                'ManifestS3Uri': "s3://bucket/path/manifest-with-input-data.json"
            }
        }
    },
    "LabelingJobAlgorithmsConfig": {
      "LabelingJobAlgorithmSpecificationArn": "arn:aws:sagemaker:us-east-1:027400017018:labeling-job-algorithm-specification/tasktype",
      "LabelingJobResourceConfig": { 
         "VpcConfig": { 
            "SecurityGroupIds": [ "sg-01233456789", "sg-987654321" ],
            "Subnets": [ "subnet-e0123456", "subnet-e7891011" ]
         }
      }
    },
    OutputConfig={
        'S3OutputPath': "s3://bucket/path/file-to-store-output-data",
        'KmsKeyId': "string"
    },
    RoleArn="arn:aws:iam::*:role/*,
    LabelCategoryConfigS3Uri="s3://bucket/path/label-categories.json",
    StoppingConditions={
        'MaxHumanLabeledObjectCount': 123,
        'MaxPercentageOfInputDatasetLabeled': 123
    },
    HumanTaskConfig={
        'WorkteamArn': "arn:aws:sagemaker:region:*:workteam/private-crowd/*",
        'UiConfig': {
            'UiTemplateS3Uri': "s3://bucket/path/custom-worker-task-template.html"
        },
        'PreHumanTaskLambdaArn': "arn:aws:lambda:us-east-1:432418664414:function:PRE-tasktype",
        'TaskKeywords': [
            "Images",
            "Classification",
            "Multi-label"
        ],
        'TaskTitle': "Add task title here",
        'TaskDescription': "Add description of task here for workers",
        'NumberOfHumanWorkersPerDataObject': 1,
        'TaskTimeLimitInSeconds': 3600,
        'TaskAvailabilityLifetimeInSeconds': 21600,
        'MaxConcurrentTaskCount': 1000,
        'AnnotationConsolidationConfig': {
            'AnnotationConsolidationLambdaArn': "arn:aws:lambda:us-east-1:432418664414:function:ACS-tasktype"
        },
    Tags=[
        {
            'Key': "string",
            'Value': "string"
        },
    ]
)