Conecte los blocs de notas de Studio VPC a recursos externos - Amazon SageMaker
Comunicación predeterminada con InternetComunicación VPC only con Internet

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conecte los blocs de notas de Studio VPC a recursos externos

En el siguiente tema se proporciona información sobre cómo conectar los cuadernos de Studio VPC a recursos externos.

Comunicación predeterminada con Internet

De forma predeterminada, SageMaker Studio proporciona una interfaz de red que permite la comunicación con Internet a través de una interfaz VPC gestionada por SageMaker. El tráfico a AWS servicios, como Amazon S3 y Amazon CloudWatch, pasa por una puerta de enlace de Internet. El tráfico que accede al entorno de SageMaker ejecución SageMaker API y también pasa por una pasarela de Internet. El tráfico entre el dominio y el EFS volumen de Amazon pasa por el VPC que identificaste cuando te incorporaste a Studio o llamaste al. CreateDomainAPI En el siguiente diagrama se muestra la configuración predeterminada.

SageMaker VPCDiagrama de Studio que muestra el uso del acceso directo a Internet.

Comunicación VPC only con Internet

Para dejar SageMaker de proporcionar acceso a Internet a sus portátiles Studio, deshabilite el acceso a Internet especificando el tipo de acceso a la VPC only red. Especifique este tipo de acceso a la red cuando se incorpore a Studio o llame al CreateDomainAPI. Como resultado, no podrás ejecutar un bloc de notas de Studio a menos que:

  • tienes VPC un punto final de interfaz con el motor SageMaker API de ejecución o una NAT puerta de enlace con acceso a Internet

  • sus grupos de seguridad permiten conexiones salientes

El siguiente diagrama muestra una configuración para usar el modo VPC -only.

SageMaker VPCDiagrama de Studio que muestra el uso del VPC modo solo.

Requisitos para usar el modo VPC only

Si ha elegido VpcOnly, siga estos pasos:

  1. Debe utilizar solo subredes privadas. No puede usar subredes públicas en el modo VpcOnly.

  2. Asegúrese de que sus subredes tengan la cantidad necesaria de direcciones IP. La cantidad esperada de direcciones IP necesarias por usuario puede variar según el caso de uso. Se recomiendan entre 2 y 4 direcciones IP por usuario. La capacidad total de direcciones IP de un dominio de Studio es la suma de las direcciones IP disponibles para cada subred que se proporcionan al crear el dominio. Asegúrese de que el uso de su dirección IP no supere la capacidad admitida por la cantidad de subredes que proporcione. Además, el uso de subredes distribuidas en muchas zonas de disponibilidad puede mejorar la disponibilidad de las direcciones IP. Para obtener más información, consulte el artículo sobre el tamaño de VPC las subredes para. IPv4

    nota

    Solo puedes configurar subredes con una tenencia predeterminada en la que la instancia se ejecute VPC en hardware compartido. Para obtener más información sobre el atributo de arrendamientoVPCs, consulta Instancias dedicadas.

  3. aviso

    Al usar el modo VpcOnly, usted es propietario parcial de la configuración de red del dominio. Se recomienda la práctica de aplicar permisos de privilegio mínimo al acceso entrante y saliente que proporcionan las reglas del grupo de seguridad. Las configuraciones de reglas de entrada excesivamente permisivas podrían permitir a los usuarios con acceso a ellas interactuar con las VPC aplicaciones de otros perfiles de usuario sin necesidad de autenticación.

    Configure uno o más grupos de seguridad con reglas de entrada y salida que permitan el siguiente tráfico:

    Cree un grupo de seguridad distinto para cada perfil de usuario y agregue el acceso entrante desde ese mismo grupo de seguridad. No se recomienda reutilizar un grupo de seguridad a nivel de dominio para los perfiles de usuario. Si el grupo de seguridad a nivel de dominio permite el acceso entrante a sí mismo, todas las aplicaciones del dominio tienen acceso a todas las demás aplicaciones del dominio.

  4. Si desea permitir el acceso a Internet, debe usar una NATpuerta de enlace con acceso a Internet, por ejemplo, a través de una puerta de enlace de Internet.

  5. Para eliminar el acceso a Internet, cree VPC puntos finales de interfaz (AWS PrivateLink) para permitir que Studio acceda a los siguientes servicios con los nombres de servicio correspondientes. También debe asociar sus grupos de seguridad a estos VPC puntos finales.

    • SageMaker API : com.amazonaws.region.sagemaker.api

    • SageMaker tiempo de ejecución:com.amazonaws.region.sagemaker.runtime. Esto es necesario para ejecutar los cuadernos de Studio y para entrenar y alojar modelos.

    • Amazon S3: com.amazonaws.region.s3.

    • Para usar SageMaker Projects:com.amazonaws.region.servicecatalog.

    • Cualquier otro AWS servicio que necesite.

    Si utilizas SageMaker Python SDK para ejecutar tareas de formación remota, también debes crear los siguientes VPC puntos de enlace de Amazon.

    • AWS Security Token Service: com.amazonaws.region.sts

    • Amazon CloudWatch:com.amazonaws.region.logs. Esto es necesario para que SageMaker Python pueda SDK obtener el estado del trabajo de formación remota desde Amazon CloudWatch.

nota

Para un cliente que trabaja dentro del VPC modo, los firewalls de la empresa pueden provocar problemas de conexión con SageMaker Studio o entre JupyterServer y el KernelGateway. Realiza las siguientes comprobaciones si te encuentras con alguno de estos problemas al usar SageMaker Studio desde un firewall.

  • Comprueba que Studio URL esté en la lista de usuarios permitidos de tu red.

  • Compruebe que las conexiones de websocket no estén bloqueadas. Jupyter usa websocket internamente. Si la KernelGateway aplicación lo está InService, es JupyterServer posible que no pueda conectarse a. KernelGateway También debería ver este problema al abrir la terminal del sistema.

Para obtener más información