Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Contrôles Security Hub pour l' SageMaker IA
Ces AWS Security Hub contrôles évaluent le service et les ressources Amazon SageMaker AI.
Il est possible que ces commandes ne soient pas toutes disponibles Régions AWS. Pour de plus amples informations, veuillez consulter Disponibilité des contrôles par région.
[SageMaker.1] Les instances de SageMaker blocs-notes Amazon AI ne doivent pas avoir d'accès direct à Internet
Exigences connexes : NIST.800-53.r5 AC-2 1, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-3, (21),,, (11) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (16) NIST.800-53.r5 AC-6, (20) NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), (4), NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 (9), NIST.800-53.r5 SC-7 PCI DSS v3.2.1/1.2.1, NIST.800-53.r5 SC-7 PCI DSS v3.2.1/1.3.1, PCI DSS v3.2.1/1.3.2, PCI DSS v3.2.1/1.3.4, PCI DSS v3.2.1/1.3.4 2.1/1.3.6, PCI DSS v4.0.1/1.4.4 NIST.800-53.r5 SC-7
Catégorie : Protéger - Configuration réseau sécurisée
Gravité : Élevée
Type de ressource : AWS::SageMaker::NotebookInstance
Règle AWS Config : sagemaker-notebook-no-direct-internet-access
Type de calendrier : Périodique
Paramètres : Aucun
Ce contrôle vérifie si l'accès direct à Internet est désactivé pour une instance de bloc-notes SageMaker AI. Le contrôle échoue si le DirectInternetAccess champ est activé pour l'instance de bloc-notes.
Si vous configurez votre instance SageMaker AI sans VPC, l'accès direct à Internet est activé par défaut sur votre instance. Vous devez configurer votre instance avec un VPC et modifier le paramètre par défaut sur Disable—Accéder à Internet via un VPC. Pour entraîner ou héberger des modèles à partir d'un ordinateur portable, vous devez avoir accès à Internet. Pour permettre l'accès à Internet, votre VPC doit disposer d'un point de terminaison d'interface (AWS PrivateLink) ou d'une passerelle NAT et d'un groupe de sécurité qui autorise les connexions sortantes. Pour en savoir plus sur la façon de connecter une instance de bloc-notes aux ressources d'un VPC, consultez Connecter une instance de bloc-notes aux ressources d'un VPC dans le manuel Amazon SageMaker AI Developer Guide. Vous devez également vous assurer que l'accès à votre configuration SageMaker AI est limité aux seuls utilisateurs autorisés. Limitez les autorisations IAM qui permettent aux utilisateurs de modifier les paramètres et les ressources de l' SageMaker IA.
Correction
Vous ne pouvez pas modifier le paramètre d'accès à Internet après avoir créé une instance de bloc-notes. Au lieu de cela, vous pouvez arrêter, supprimer et recréer l'instance avec un accès Internet bloqué. Pour supprimer une instance de bloc-notes qui permet un accès direct à Internet, consultez la section Utiliser des instances de bloc-notes pour créer des modèles : nettoyage dans le manuel Amazon SageMaker AI Developer Guide. Pour recréer une instance de bloc-notes qui refuse l'accès à Internet, consultez la section Créer une instance de bloc-notes. Pour Réseau, Accès direct à Internet, choisissez Désactiver : accéder à Internet via un VPC.
[SageMaker.2] Les instances de bloc-notes SageMaker AI doivent être lancées dans un VPC personnalisé
Exigences connexes : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21),, NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (9)
Catégorie : Protection > Configuration réseau sécurisée > Ressources au sein du VPC
Gravité : Élevée
Type de ressource : AWS::SageMaker::NotebookInstance
Règle AWS Config : sagemaker-notebook-instance-inside-vpc
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si une instance de bloc-notes Amazon SageMaker AI est lancée dans un cloud privé virtuel (VPC) personnalisé. Ce contrôle échoue si une instance de bloc-notes SageMaker AI n'est pas lancée dans un VPC personnalisé ou si elle est lancée dans le VPC du service SageMaker AI.
Les sous-réseaux sont une plage d'adresses IP au sein d'un VPC. Nous vous recommandons de conserver vos ressources dans un VPC personnalisé dans la mesure du possible afin de garantir une protection réseau sécurisée de votre infrastructure. Un Amazon VPC est un réseau virtuel dédié à votre. Compte AWS Avec un Amazon VPC, vous pouvez contrôler l'accès au réseau et la connectivité Internet de vos instances d' SageMaker AI Studio et de bloc-notes.
Correction
Vous ne pouvez pas modifier le paramètre VPC après avoir créé une instance de bloc-notes. Au lieu de cela, vous pouvez arrêter, supprimer et recréer l'instance. Pour obtenir des instructions, consultez la section Utiliser des instances de bloc-notes pour créer des modèles : nettoyage dans le manuel Amazon SageMaker AI Developer Guide.
[SageMaker.3] Les utilisateurs ne doivent pas avoir d'accès root aux instances de blocs-notes SageMaker AI
Exigences associées : NIST.800-53.r5 AC-2 (1), NIST.800-53.r5 AC-3 (15), NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-6, NIST.800-53.r5 AC-6 (10), NIST.800-53.r5 AC-6 (2)
Catégorie : Protection > Gestion des accès sécurisés > Restrictions d'accès des utilisateurs root
Gravité : Élevée
Type de ressource : AWS::SageMaker::NotebookInstance
Règle AWS Config : sagemaker-notebook-instance-root-access-check
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si l'accès root est activé pour une instance de bloc-notes Amazon SageMaker AI. Le contrôle échoue si l'accès root est activé pour une instance de bloc-notes SageMaker AI.
Conformément au principe du moindre privilège, il est recommandé en matière de sécurité de restreindre l'accès root aux ressources de l'instance afin d'éviter un surprovisionnement involontaire des autorisations.
Correction
Pour restreindre l'accès root aux instances de bloc-notes SageMaker AI, consultez la section Contrôler l'accès root à une instance de bloc-notes SageMaker AI dans le manuel Amazon SageMaker AI Developer Guide.
[SageMaker.4] Les variantes de production de terminaux SageMaker AI doivent avoir un nombre initial d'instances supérieur à 1
Exigences connexes : NIST.800-53.r5 CP-10, NIST.800-53.r5 SC-5, NIST.800-53.r5 SC-3 6, NIST.800-53.r5 SA-1 3
Catégorie : Restauration > Résilience > Haute disponibilité
Gravité : Moyenne
Type de ressource : AWS::SageMaker::EndpointConfig
Règle AWS Config : sagemaker-endpoint-config-prod-instance-count
Type de calendrier : Périodique
Paramètres : Aucun
Ce contrôle vérifie si les variantes de production d'un point de terminaison Amazon SageMaker AI ont un nombre initial d'instances supérieur à 1. Le contrôle échoue si les variantes de production du point de terminaison ne possèdent qu'une seule instance initiale.
Les variantes de production exécutées avec un nombre d'instances supérieur à 1 permettent la redondance des instances multi-AZ gérée par l'IA. SageMaker Le déploiement de ressources sur plusieurs zones de disponibilité est une AWS bonne pratique pour garantir une haute disponibilité au sein de votre architecture. La haute disponibilité vous aide à vous remettre d'un incident de sécurité.
Note
Ce contrôle s'applique uniquement à la configuration du point de terminaison basée sur l'instance.
Correction
Pour plus d'informations sur les paramètres de configuration d'un point de terminaison, consultez la section Créer une configuration de point de terminaison dans le manuel Amazon SageMaker AI Developer Guide.
[SageMaker.5] SageMaker les modèles devraient bloquer le trafic entrant
Catégorie : Protéger > Configuration réseau sécurisée > Ressources non accessibles au public
Gravité : Moyenne
Type de ressource : AWS::SageMaker::Model
Règle AWS Config : sagemaker-model-isolation-enabled
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si un modèle hébergé par Amazon SageMaker AI bloque le trafic réseau entrant. Le contrôle échoue si le EnableNetworkIsolation paramètre du modèle hébergé est défini surFalse.
SageMaker La formation à l'IA et les conteneurs d'inférence déployés sont compatibles avec Internet par défaut. Si vous ne souhaitez pas que l' SageMaker IA fournisse un accès réseau externe à vos conteneurs de formation ou d'inférence, vous pouvez activer l'isolation du réseau. Si vous activez l'isolation du réseau, les conteneurs ne peuvent pas effectuer d'appels réseau sortants, même vers d'autres Services AWS conteneurs. En outre, aucune information AWS d'identification n'est mise à la disposition de l'environnement d'exécution du conteneur. L'activation de l'isolation du réseau permet d'empêcher tout accès involontaire à vos ressources d' SageMaker IA depuis Internet.
Correction
Pour plus d'informations sur l'isolation du réseau pour les modèles d' SageMaker IA, consultez la section Exécuter des conteneurs d'entraînement et d'inférence en mode sans Internet dans le manuel Amazon SageMaker AI Developer Guide. Vous pouvez activer l'isolation du réseau lorsque vous créez votre tâche ou votre modèle de formation en définissant la valeur du EnableNetworkIsolation paramètre surTrue.
