Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurer Amazon SageMaker Canvas dans un VPC sans accès à Internet

L'application Amazon SageMaker Canvas s'exécute dans un conteneur d'un Amazon Virtual Private Cloud (VPC) AWS géré. Si vous souhaitez mieux contrôler l'accès à vos ressources ou exécuter SageMaker Canvas sans accès public à Internet, vous pouvez configurer les paramètres de votre domaine Amazon SageMaker AI et de votre VPC. Au sein de votre propre VPC, vous pouvez configurer des paramètres tels que des groupes de sécurité (pare-feu virtuels qui contrôlent le trafic entrant et sortant des instances Amazon EC2) et des sous-réseaux (plages d’adresses IP dans votre VPC). Pour en savoir plus sur les VPC, consultez Fonctionnement d'Amazon VPC.

Lorsque l'application SageMaker Canvas s'exécute dans le VPC AWS géré, elle peut interagir avec d'autres AWS services via une connexion Internet ou via des points de terminaison VPC créés dans un VPC géré par le client (sans accès Internet public). SageMaker Les applications Canvas peuvent accéder à ces points de terminaison VPC via une interface Classic-created réseau Studio qui fournit une connectivité au VPC géré par le client. Le comportement par défaut de l'application SageMaker Canvas est d'avoir accès à Internet. Lorsque vous utilisez une connexion Internet, les conteneurs des tâches précédentes accèdent aux ressources AWS via Internet, telles que les compartiments Amazon S3 où vous stockez les données d'entraînement et les artefacts de modèle.

Toutefois, si vous avez des exigences de sécurité pour contrôler l'accès à vos données et à vos conteneurs de tâches, nous vous recommandons de configurer SageMaker Canvas et votre VPC de manière à ce que vos données et conteneurs ne soient pas accessibles via Internet. SageMaker AI utilise les paramètres de configuration VPC que vous spécifiez lors de la configuration de votre domaine pour SageMaker Canvas.

Si vous souhaitez configurer votre application SageMaker Canvas sans accès à Internet, vous devez configurer les paramètres de votre VPC lors de l'intégration au domaine Amazon SageMaker AI, de la configuration des points de terminaison VPC et de l'octroi des autorisations nécessaires. Gestion des identités et des accès AWS Pour plus d'informations sur la configuration d'un VPC dans Amazon SageMaker AI, consultezChoix d’un réseau Amazon VPC. Les sections suivantes décrivent comment exécuter SageMaker Canvas dans un VPC sans accès public à Internet.

Configurer Amazon SageMaker Canvas dans un VPC sans accès à Internet

Vous pouvez envoyer du trafic depuis SageMaker Canvas vers d'autres AWS services via votre propre VPC. Si votre propre VPC ne dispose pas d'un accès public à Internet et que vous avez configuré votre domaine en mode VPC uniquement, SageMaker Canvas ne disposera pas non plus d'un accès Internet public. Cela inclut toutes les demandes, telles que l'accès aux jeux de données dans Amazon S3 ou les tâches d'entraînement pour les versions standard, et les demandes passent par les points de terminaison d'un VPC dans votre VPC au lieu de l'Internet public. Lorsque vous intégrez le domaine et Choix d’un réseau Amazon VPC, vous pouvez spécifier votre propre VPC comme VPC par défaut du domaine, ainsi que les paramètres de groupe de sécurité et de sous-réseau souhaités. SageMaker L'IA crée ensuite une interface réseau dans votre VPC que SageMaker Canvas utilise pour accéder aux points de terminaison du VPC dans votre VPC.

Assurez-vous de configurer un ou plusieurs groupes de sécurité dans votre VPC avec des règles entrantes et sortantes qui autorisent le trafic TCP au sein du groupe de sécurité. Cela est nécessaire pour la connectivité entre l’application Jupyter Server et les applications Kernel Gateway. Vous devez autoriser l’accès à au moins des ports situés dans la plage 8192-65535. De plus, veillez à créer un groupe de sécurité distinct pour chaque profil utilisateur et à ajouter un accès entrant à partir de ce même groupe de sécurité. Nous déconseillons de réutiliser un groupe de sécurité au niveau du domaine pour les profils utilisateur. Si le groupe de sécurité au niveau du domaine autorise l’accès entrant à lui-même, toutes les applications figurant dans le domaine auront accès à toutes les autres applications du domaine. Notez que les paramètres du groupe de sécurité et du sous-réseau sont définis une fois que vous avez terminé l’intégration au domaine.

Lors de l'intégration au domaine, si vous choisissez Internet public uniquement comme type d'accès réseau, le VPC est géré par SageMaker IA et autorise l'accès à Internet.

Vous pouvez modifier ce comportement en choisissant VPC uniquement afin qu' SageMaker AI envoie tout le trafic vers une interface réseau créée par SageMaker AI dans le VPC que vous avez spécifié. Lorsque vous choisissez cette option, vous devez fournir les sous-réseaux, les groupes de sécurité et les points de terminaison VPC nécessaires pour communiquer avec l' SageMaker API et SageMaker AI Runtime, ainsi que divers AWS services, tels qu'Amazon S3 et Amazon CloudWatch, utilisés par Canvas. SageMaker Notez que vous ne pouvez importer des données qu’à partir de compartiments Amazon S3 situés dans la même région que votre VPC.

Les procédures suivantes montrent comment configurer ces paramètres pour utiliser SageMaker Canvas sans Internet.

Étape 1 : Intégrez le domaine Amazon SageMaker AI

Pour envoyer le trafic SageMaker Canvas vers une interface réseau de votre propre VPC plutôt que via Internet, spécifiez le VPC que vous souhaitez utiliser lors de l'intégration au domaine Amazon SageMaker AI. Vous devez également spécifier au moins deux sous-réseaux dans votre VPC que l' SageMaker IA peut utiliser. Choisissez Configuration standard et effectuez la procédure suivante lors de la configuration de la Section réseau et stockage pour le domaine.

Après avoir désactivé l’accès à Internet, terminez le processus d’intégration pour configurer votre domaine. Pour plus d'informations sur les paramètres VPC pour le domaine Amazon SageMaker AI, consultezChoix d’un réseau Amazon VPC.

Étape 2 : configurer les points de terminaison de VPC et l’accès

SageMaker Canvas accède à d'autres AWS services uniquement pour gérer et stocker les données nécessaires à ses fonctionnalités. Par exemple, il se connecte à Amazon Redshift si vos utilisateurs accèdent à une base de données Amazon Redshift. Il peut se connecter à un AWS service tel qu'Amazon Redshift via une connexion Internet ou un point de terminaison VPC. Utilisez des points de terminaison VPC si vous souhaitez configurer des connexions entre votre VPC et AWS des services qui n'utilisent pas l'Internet public.

Un point de terminaison VPC crée une connexion privée à un AWS service qui utilise un chemin réseau isolé de l'Internet public. Par exemple, si vous configurez l'accès à Amazon S3 à l'aide d'un point de terminaison VPC depuis votre propre VPC, l'application SageMaker Canvas peut accéder à Amazon S3 en passant par l'interface réseau de votre VPC, puis via le point de terminaison VPC qui se connecte à Amazon S3. La communication entre SageMaker Canvas et Amazon S3 est privée.

Pour plus d’informations sur la configuration des points de terminaison d’un VPC, consultez AWS PrivateLink. Si vous utilisez des modèles Amazon Bedrock dans Canvas avec un VPC, vous pouvez obtenir des informations sur le contrôle de l'accès à vos données en consultant Protection des tâches à l'aide d'un VPC dans le Guide de l'utilisateur Amazon Bedrock (langue française non garantie).

Voici les points de terminaison VPC pour chaque service que vous pouvez utiliser avec SageMaker Canvas :

Vous devez également ajouter une politique de point de terminaison pour Amazon S3 afin de contrôler l'accès AWS principal à votre point de terminaison VPC. Pour obtenir des informations sur la mise à jour de votre politique de points de terminaison de VPC, consultez Contrôle de l’accès aux points de terminaison de VPC à l’aide de politiques de points de terminaison.

Voici deux politiques de points de terminaison de VPC que vous pouvez utiliser. Utilisez la première politique si vous souhaitez uniquement accorder l’accès aux fonctionnalités de base de Canvas, telles que l’importation de données et la création de modèles. Utilisez la seconde politique si vous souhaitez accorder l’accès aux fonctionnalités d’IA générative supplémentaires dans Canvas.

Basic VPC endpoint policy

La politique suivante accorde l’accès nécessaire à votre point de terminaison de VPC pour les opérations de base dans Canvas.

        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:CreateBucket",
                "s3:GetBucketCors",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::*SageMaker*",
                "arn:aws:s3:::*Sagemaker*",
                "arn:aws:s3:::*sagemaker*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*"
        }

Generative AI VPC endpoint policy

La politique suivante accorde l’accès nécessaire à votre point de terminaison de VPC pour les opérations de base dans Canvas, ainsi que pour l’utilisation des modèles de fondation d’IA générative.

        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:CreateBucket",
                "s3:GetBucketCors",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::*SageMaker*",
                "arn:aws:s3:::*Sagemaker*",
                "arn:aws:s3:::*sagemaker*",
                "arn:aws:s3:::*fmeval/datasets*",
                "arn:aws:s3:::*jumpstart-cache-prod*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*"
        }

Étape 3 : accorder des autorisations IAM

L'utilisateur SageMaker Canvas doit disposer des Gestion des identités et des accès AWS autorisations nécessaires pour autoriser la connexion aux points de terminaison du VPC. Le rôle IAM auquel vous accordez des autorisations doit être le même que celui que vous avez utilisé lors de l'intégration au domaine Amazon SageMaker AI. Vous pouvez associer la AmazonSageMakerFullAccess politique gérée par SageMaker IA au rôle IAM pour que l'utilisateur lui donne les autorisations requises. Si vous avez besoin d'autorisations IAM plus restrictives et que vous utilisez plutôt des politiques personnalisées, accordez l'ec2:DescribeVpcEndpointServicesautorisation au rôle de l'utilisateur. SageMaker Canvas a besoin de ces autorisations pour vérifier l'existence des points de terminaison VPC requis pour les tâches de génération standard. S'il détecte ces points de terminaison de VPC, les tâches de construction standard s'exécutent par défaut dans votre VPC. Dans le cas contraire, ils s'exécuteront dans le VPC AWS géré par défaut.

Pour obtenir des instructions sur la façon d'attacher la politique IAM AmazonSageMakerFullAccess pour le rôle IAM de votre utilisateur, consultez Ajout et suppression d'autorisations basées sur l'identité IAM.

Pour attribuer au rôle IAM de votre utilisateur une autorisation ec2:DescribeVpcEndpointServices, procédez comme suit :

Le rôle IAM de l'utilisateur doit désormais disposer des autorisations nécessaires pour accéder aux points de terminaison d'un VPC configurés dans votre VPC.

(Facultatif) Étape 4 : remplacement des paramètres de groupe de sécurité pour des utilisateurs spécifiques

Si vous êtes administrateur, vous pouvez souhaiter que différents utilisateurs disposent de paramètres VPC différents ou spécifiques à l'utilisateur. Lorsque vous remplacez les paramètres de groupe de sécurité par défaut du VPC pour un utilisateur spécifique, ces paramètres sont transmis à l'application SageMaker Canvas pour cet utilisateur.

Vous pouvez remplacer les groupes de sécurité auxquels un utilisateur spécifique a accès dans votre VPC lorsque vous configurez un nouveau profil utilisateur dans Studio Classic. Vous pouvez utiliser l'appel d'CreateUserProfile SageMaker API (ou create_user_profile avec AWS CLI), puis, dans leUserSettings, vous pouvez spécifier le pour l'SecurityGroupsutilisateur.