View a markdown version of this page

Donnez à Amazon SageMaker Clarify Jobs l'accès aux ressources de votre Amazon VPC - Amazon SageMaker AI
Configurer une tâche SageMaker Clarify pour Amazon VPC AccessConfigurez votre Amazon VPC privé pour SageMaker Clarify Jobs

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Donnez à Amazon SageMaker Clarify Jobs l'accès aux ressources de votre Amazon VPC

Pour contrôler l'accès à vos données et SageMaker Clarify jobs, nous vous recommandons de créer un Amazon VPC privé et de le configurer de telle sorte que vos jobs ne soient pas accessibles via Internet public. Pour plus d'informations sur la création et la configuration d'un Amazon VPC pour le traitement des tâches, voir Autoriser les tâches de SageMaker traitement à accéder aux ressources de votre Amazon VPC.

Ce document explique comment ajouter des configurations Amazon VPC supplémentaires qui répondent aux exigences des tâches SageMaker Clarify.

Configurer une tâche SageMaker Clarify pour Amazon VPC Access

Vous devez spécifier des sous-réseaux et des groupes de sécurité lors de la configuration de votre Amazon VPC privé pour SageMaker Clarify jobs et permettre à la tâche d'obtenir des inférences à partir du modèle d' SageMaker IA lors du calcul des mesures de biais post-entraînement et des contributions aux fonctionnalités qui aident à expliquer les prédictions du modèle.

SageMaker Clarifier les sous-réseaux et les groupes de sécurité Amazon VPC

Les sous-réseaux et les groupes de sécurité de votre Amazon VPC privé peuvent être affectés à une tâche SageMaker Clarify de différentes manières, en fonction de la manière dont vous créez la tâche.

  • SageMaker Console IA  : fournissez ces informations lorsque vous créez la tâche dans le tableau de bord SageMaker AI. De le menu Processing (Traitement), choisissez Processing jobs (Tâches de traitement), puis choisissez Create processing job (Créer une tâche de traitement). Sélectionnez l’option VPC dans le panneau Network (Réseau) et indiquez les sous-réseaux et les groupes de sécurité à l’aide des listes déroulantes. Assurez-vous que l'option d'isolement réseau fournie dans ce panneau est désactivée.

  • SageMaker API  : utilisez le paramètre de NetworkConfig.VpcConfig requête de l'CreateProcessingJobAPI, comme illustré dans l'exemple suivant :

    "NetworkConfig": {
    "VpcConfig": {
        "Subnets": [
            "subnet-0123456789abcdef0",
            "subnet-0123456789abcdef1",
            "subnet-0123456789abcdef2"
        ],
        "SecurityGroupIds": [
            "sg-0123456789abcdef0"
        ]
    }
}

  • SageMaker SDK Python  : utilisez le NetworkConfig paramètre de l'SageMakerClarifyProcessorAPI ou de l'ProcessorAPI, comme illustré dans l'exemple suivant :

    from sagemaker.network import NetworkConfig
network_config = NetworkConfig(
    subnets=[
        "subnet-0123456789abcdef0",
        "subnet-0123456789abcdef1",
        "subnet-0123456789abcdef2",
    ],
    security_group_ids=[
        "sg-0123456789abcdef0",
    ],
)

SageMaker L'IA utilise ces informations pour créer des interfaces réseau et les associer à la tâche SageMaker Clarify. Les interfaces réseau fournissent une tâche SageMaker Clarify avec une connexion réseau au sein de votre Amazon VPC qui n'est pas connectée à l'Internet public. Ils permettent également à la tâche SageMaker Clarify de se connecter aux ressources de votre Amazon VPC privé.

Note

L'option d'isolation réseau de la tâche SageMaker Clarify doit être désactivée (par défaut, l'option est désactivée) pour que la tâche SageMaker Clarify puisse communiquer avec le point de terminaison fantôme.

Configuration d’un modèle Amazon VPC pour l’inférence

Afin de calculer les métriques de biais et l'explicabilité après l'entraînement, la tâche SageMaker Clarify doit obtenir des inférences à partir du modèle d' SageMaker IA spécifié par le model_name paramètre de la configuration d'analyse pour la SageMaker tâche de traitement Clarify. Sinon, si vous utilisez l'SageMakerClarifyProcessorAPI du SDK SageMaker AI Python, la tâche doit obtenir les informations model_name spécifiées par la ModelConfig classe. Pour ce faire, la tâche SageMaker Clarify crée un point de terminaison éphémère avec le modèle, appelé point de terminaison fictif, puis applique la configuration Amazon VPC du modèle au point de terminaison fictif.

Pour spécifier des sous-réseaux et des groupes de sécurité dans votre Amazon VPC privé selon le modèle SageMaker AI, utilisez le paramètre de VpcConfig requête de l'CreateModelAPI ou fournissez ces informations lorsque vous créez le modèle à l'aide du tableau de bord SageMaker AI de la console. Voici un exemple du paramètre VpcConfig que vous incluez dans votre appel à CreateModel : 

"VpcConfig": {
    "Subnets": [
        "subnet-0123456789abcdef0",
        "subnet-0123456789abcdef1",
        "subnet-0123456789abcdef2"
    ],
    "SecurityGroupIds": [
        "sg-0123456789abcdef0"
    ]
}

Vous pouvez spécifier le nombre d'instances du point de terminaison fantôme à lancer avec le initial_instance_count paramètre de configuration d'analyse pour la tâche de traitement SageMaker Clarify. Sinon, si vous utilisez l'SageMakerClarifyProcessorAPI du SDK SageMaker AI Python, la tâche doit obtenir les informations instance_count spécifiées par la ModelConfig classe.

Note

Même si vous ne demandez qu'une seule instance lors de la création du point de terminaison fictif, vous avez besoin d'au moins deux sous-réseaux dans les zones de disponibilité distinctes du ModelConfig modèle. Sinon, la création du point de terminaison fantôme échoue avec l'erreur suivante :

ClientError: Erreur lors de l'hébergement du terminal SageMaker-Clarify-Endpoint-XXX : échec. Raison : Impossible de localiser au moins 2 zones de disponibilité avec le type d'instance demandé YYY qui chevauchent des sous-réseaux SageMaker AI.

Si votre modèle nécessite des fichiers de modèle dans Amazon S3, le modèle Amazon VPC doit disposer d’un point de terminaison de VPC Amazon S3. Pour plus d'informations sur la création et la configuration d'un Amazon VPC pour les modèles d' SageMaker IA, consultezDonnez aux terminaux hébergés par SageMaker IA l'accès aux ressources de votre Amazon VPC.

Configurez votre Amazon VPC privé pour SageMaker Clarify Jobs

En général, vous pouvez suivre les étapes décrites dans Configurer votre VPC privé pour le SageMaker traitement afin de configurer votre Amazon VPC privé pour les tâches SageMaker Clarify. Voici quelques points forts et exigences particulières pour les emplois SageMaker Clarify.

Connexion à des ressources en dehors de votre Amazon VPC

Si vous configurez votre Amazon VPC de manière à ce qu'il ne dispose pas d'un accès public à Internet, une configuration supplémentaire est requise pour permettre à SageMaker Clarify jobs d'accéder à des ressources et à des services extérieurs à votre Amazon VPC. Par exemple, un point de terminaison Amazon S3 VPC est requis car une tâche SageMaker Clarify doit charger un ensemble de données à partir d'un compartiment S3 et enregistrer les résultats de l'analyse dans un compartiment S3. Pour plus d’informations, consultez Créer un point de terminaison de VPC Amazon S3 pour le guide de création. En outre, si une tâche SageMaker Clarify doit obtenir des inférences à partir du point de terminaison fictif, elle doit appeler plusieurs autres AWS services.

  • Création d'un point de terminaison VPC Amazon SageMaker API Service  : la tâche SageMaker Clarify doit appeler le service Amazon SageMaker API pour manipuler le point de terminaison fantôme ou pour décrire un modèle d' SageMaker IA pour la validation Amazon VPC. Vous pouvez suivre les instructions fournies dans le AWS PrivateLink blog Securing all Amazon SageMaker API calls with pour créer un point de terminaison Amazon SageMaker API VPC qui permet à la tâche SageMaker Clarify d'effectuer les appels de service. Notez que le nom du service Amazon SageMaker API estcom.amazonaws.region.sagemaker.api, où region est le nom de la région où réside votre Amazon VPC.

  • Création d'un point de terminaison VPC Amazon SageMaker AI Runtime  : la tâche SageMaker Clarify doit appeler le service d'exécution Amazon SageMaker AI, qui achemine les appels vers le point de terminaison fictif. Les étapes de configuration sont similaires à celles du service Amazon SageMaker API. Notez que le nom du service Amazon SageMaker AI Runtime estcom.amazonaws.region.sagemaker.runtime, où se region trouve le nom de la région dans laquelle se trouve votre Amazon VPC.

Configurer le groupe de sécurité Amazon VPC

SageMaker Les tâches Clarify prennent en charge le traitement distribué lorsque deux instances de traitement ou plus sont spécifiées de l'une des manières suivantes :

  • SageMaker Console AI  : le nombre d'instances est spécifié dans la partie Configuration des ressources du panneau des paramètres de la tâche sur la page Créer une tâche de traitement.

  • SageMaker API  : elle InstanceCount est spécifiée lorsque vous créez la tâche à l'aide de l'CreateProcessingJobAPI.

  • SageMaker SDK Python  : instance_count il est spécifié lors de l'utilisation de l'SageMakerClarifyProcessorAPI ou de l'API du processeur.

Dans un traitement distribué, vous devez autoriser la communication entre les différentes instances d'une même tâche de traitement. Pour ce faire, configurez une règle pour votre groupe de sécurité qui autorise les connexions entrantes entre les membres du même groupe de sécurité. Pour obtenir des informations, consultez Règles des groupes de sécurité.