Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Considérations de sécurité pour les points de contrôle hiérarchisés gérés
Cette section couvre les considérations de sécurité importantes lors de l'utilisation du point de contrôle hiérarchisé géré. Cela inclut l’utilisation du module pickle Python, le chiffrement Amazon S3 et la sécurité des points de terminaison réseau.
Utilisation du module pickle Python
Le point de contrôle hiérarchisé géré utilise le module pickle de Python pour désérialiser les données des points de contrôle stockées dans Amazon S3. Cette mise en œuvre a d’importantes implications en matière de sécurité :
-
Limite de confiance étendue : lorsque vous utilisez le point de contrôle hiérarchisé géré avec Amazon S3, le compartiment Amazon S3 fait partie de la limite de confiance de votre cluster.
-
Risque d’exécution du code : le module pickle de Python peut exécuter du code arbitraire lors de la désérialisation. Si un utilisateur non autorisé obtient un accès en écriture à votre compartiment Amazon S3 de point de contrôle, il est susceptible de créer des données pickle malveillantes qui s'exécutent lorsqu'elles sont chargées par un point de contrôle hiérarchisé géré.
Bonnes pratiques pour le stockage Amazon S3
Lorsque vous utilisez le point de contrôle hiérarchisé géré avec le stockage Amazon S3 :
-
Restreindre l’accès au compartiment Amazon S3 : veillez à ce que seuls les utilisateurs autorisés et les rôles associés à votre cluster d’entraînement aient accès au compartiment Amazon S3 utilisé pour les points de contrôle.
-
Mettre en œuvre des stratégies de compartiment : configurez des stratégies de compartiment appropriées pour empêcher les accès ou les modifications non autorisés.
-
Validez les modèles d'accès : implémentez la journalisation pour valider les modèles d'accès à vos compartiments Amazon S3 de point de contrôle.
-
Valider les noms des compartiments : faites preuve de prudence lors de la sélection des noms de compartiments afin d’éviter tout détournement potentiel des compartiments.
Points de terminaison réseau
Le point de contrôle hiérarchisé géré active les points de terminaison réseau sur chacun de vos nœuds de calcul sur les ports suivants : 9200/TCP, 9209/UDP, 9210/UDP, 9219/UDP,, 9220/UDP 9229/UDP, 9230/UDP. 9239/UDP 9240/UDP Ces ports sont nécessaires au fonctionnement du service de points de contrôle et au maintien de la synchronisation des données.
Par défaut, SageMaker la configuration réseau de la société restreint l'accès à ces terminaux pour des raisons de sécurité. Nous vous recommandons de conserver ces restrictions par défaut.
Lorsque vous configurez les paramètres réseau de vos nœuds et de vos VPC, suivez les AWS meilleures pratiques pour les VPC, les groupes de sécurité et les ACL. Pour plus d’informations, consultez les ressources suivantes :
