View a markdown version of this page

Connettiti all' SageMaker IA all'interno del tuo VPC - Amazon SageMaker AI
Connettiti all' SageMaker IA tramite un endpoint di interfaccia VPCUtilizzo della SageMaker formazione e dell'hosting con risorse all'interno del tuo VPCCrea una policy VPC Endpoint per l'IA SageMakerCrea una policy VPC Endpoint per Amazon Feature Store SageMakerConnessione della rete privata al VPC

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connettiti all' SageMaker IA all'interno del tuo VPC

Puoi connetterti direttamente all' SageMaker API o ad Amazon SageMaker Runtime tramite un endpoint di interfaccia nel tuo cloud privato virtuale (VPC) invece di connetterti tramite Internet. Quando utilizzi un endpoint di interfaccia VPC, la comunicazione tra il tuo VPC e l'API SageMaker AI o Runtime viene condotta interamente e in sicurezza all'interno di una rete. AWS

Connettiti all' SageMaker IA tramite un endpoint di interfaccia VPC

L' SageMaker API e SageMaker AI Runtime supportano gli endpoint di interfaccia Amazon Virtual Private Cloud (Amazon VPC) basati su. AWS PrivateLink Ogni endpoint VPC è rappresentato da una o più interfacce di rete elastiche con indirizzi IP privati nelle sottoreti del tuo VPC. Ad esempio, un'applicazione all'interno del tuo VPC viene utilizzata AWS PrivateLink per comunicare con SageMaker AI Runtime. SageMaker AI Runtime a sua volta comunica con l'endpoint SageMaker AI. L'utilizzo AWS PrivateLink consente di richiamare l'endpoint SageMaker AI dall'interno del VPC, come mostrato nel diagramma seguente.

Un VPC viene utilizzato AWS PrivateLink per comunicare con un endpoint AI. SageMaker

L'endpoint dell'interfaccia VPC collega il VPC direttamente all' SageMaker API o all' SageMaker AI Runtime AWS PrivateLink senza utilizzare un gateway Internet, un dispositivo NAT, una connessione VPN o una connessione. Direct Connect Le istanze del tuo VPC non devono connettersi alla rete Internet pubblica per comunicare con l'API o con AI Runtime. SageMaker SageMaker

Puoi creare un endpoint di AWS PrivateLink interfaccia per connetterti ad SageMaker AI o ad SageMaker AI Runtime utilizzando Console di gestione AWS o AWS Command Line Interface ().AWS CLI Per istruzioni, consulta Accedere a un AWS servizio utilizzando un endpoint VPC di interfaccia.

Se non hai abilitato un nome host DNS (Domain Name System) privato per il tuo endpoint VPC, dopo aver creato un endpoint VPC, specifica l'URL dell'endpoint Internet per l'API o AI Runtime. SageMaker SageMaker Segue un esempio di codice che utilizza AWS CLI i comandi per specificare il endpoint-url parametro.

aws sagemaker list-notebook-instances --endpoint-url VPC_Endpoint_ID.api.sagemaker.Region.vpce.amazonaws.com

aws sagemaker list-training-jobs --endpoint-url VPC_Endpoint_ID.api.sagemaker.Region.vpce.amazonaws.com

aws sagemaker-runtime invoke-endpoint --endpoint-url https://VPC_Endpoint_ID.runtime.sagemaker.Region.vpce.amazonaws.com  \
    --endpoint-name Endpoint_Name \
    --body "Endpoint_Body" \
    --content-type "Content_Type" \
            Output_File

Se abiliti i nomi host DNS privati per il tuo endpoint VPC, non devi specificare l'URL dell'endpoint perché il nome host predefinito (https://api.sagemaker.Region.amazon.com) si risolve nel tuo endpoint VPC. Allo stesso modo, anche il nome host DNS SageMaker AI Runtime predefinito (.amazonaws.com) si risolve nell'endpoint VPC. https://runtime.sagemaker. Region

L' SageMaker API e SageMaker AI Runtime supportano gli endpoint VPC ovunque siano disponibili sia Amazon VPC che AI. Regioni AWS https://docs.aws.amazon.com/general/latest/gr/rande.html#vpc_region SageMaker SageMaker L'intelligenza artificiale supporta l'effettuazione di chiamate verso tutti i componenti del tuo VPC Operations. Se utilizzi AuthorizedUrl dal comando CreatePresignedNotebookInstanceUrl, il traffico passerà tramite la rete Internet pubblica. Non puoi utilizzare solo un endpoint VPC per accedere all’URL prefirmato, perché la richiesta deve passare attraverso il gateway Internet.

Per impostazione predefinita, gli utenti possono condividere l’URL prefirmato con persone esterne alla rete aziendale. Per una maggiore sicurezza, è necessario aggiungere le autorizzazioni IAM per limitare l’utilizzo dell’URL solo all’interno della tua rete. Per informazioni sulle autorizzazioni IAM, consulta How AWS PrivateLink works with IAM.

Nota

Quando configuri un endpoint di interfaccia VPC per il servizio SageMaker AI Runtime (https://runtime.sagemaker.Region.amazonaws.com), devi assicurarti che l'endpoint di interfaccia VPC sia attivato nella zona di disponibilità del tuo cliente affinché la risoluzione DNS privata funzioni. Altrimenti, potresti riscontrare errori DNS durante il tentativo di risolvere l'URL.

Per saperne di più, consulta la documentazione. AWS PrivateLinkAWS PrivateLink Fai riferimento a Prezzi di AWS PrivateLink per il prezzo di endpoint VPC. Per ulteriori informazioni su VPC ed endpoint, consulta Amazon VPC. Per informazioni su come utilizzare le AWS Identity and Access Management policy basate sull'identità per limitare l'accesso all' SageMaker API e ad SageMaker AI Runtime, consulta. Controlla l'accesso all'API SageMaker AI utilizzando politiche basate sull'identità

Utilizzo della SageMaker formazione e dell'hosting con risorse all'interno del tuo VPC

SageMaker L'intelligenza artificiale utilizza il tuo ruolo di esecuzione per scaricare e caricare informazioni da un bucket Amazon S3 e Amazon Elastic Container Registry (Amazon ECR), indipendentemente dal contenitore di formazione o inferenza. Se disponi di risorse all'interno del tuo VPC, puoi comunque concedere all' SageMaker IA l'accesso a tali risorse. Le sezioni seguenti spiegano come rendere le risorse disponibili all' SageMaker IA con o senza isolamento della rete.

Senza isolamento di rete abilitato

Se non hai impostato l'isolamento della rete nel tuo lavoro o modello di formazione, l' SageMaker IA può accedere alle risorse utilizzando uno dei seguenti metodi.

  • SageMaker i contenitori di formazione e di inferenza distribuiti possono accedere a Internet per impostazione predefinita. SageMaker I contenitori di intelligenza artificiale sono in grado di accedere a servizi e risorse esterne su Internet pubblico come parte dei carichi di lavoro di formazione e inferenza. SageMaker I contenitori AI non sono in grado di accedere alle risorse all'interno del VPC senza una configurazione VPC, come mostrato nella figura seguente.

    SageMaker L'IA non può accedere alle risorse all'interno del tuo VPC senza una configurazione VPC.

  • Utilizza la configurazione di un VPC per comunicare con le risorse presenti all'interno del tuo VPC tramite un'interfaccia di rete elastica (ENI). La comunicazione tra il container e le risorse del tuo VPC avviene in modo sicuro all'interno della tua rete VPC, come mostrato nella figura seguente. In questo caso, gestisci l'accesso in rete alle risorse del tuo VPC e a Internet.

    SageMaker L'IA può accedere e comunicare con le risorse all'interno del tuo VPC con una configurazione VPC.

Con isolamento di rete

Se utilizzi l'isolamento della rete, il contenitore SageMaker AI non può comunicare con le risorse all'interno del tuo VPC né effettuare chiamate di rete, come mostrato nella figura seguente. Se fornisci la configurazione di un VPC, le operazioni di scaricamento e caricamento verranno eseguite tramite il tuo VPC. Per ulteriori informazioni sull'hosting e sull'addestramento con isolamento di rete durante l'utilizzo di un VPC, consulta Isolamento di rete.

SageMaker L'intelligenza artificiale può accedere e comunicare con le risorse all'interno del VPC con una configurazione VPC.

Puoi creare una policy per gli endpoint Amazon VPC per l' SageMaker IA per specificare quanto segue:

  • Il principale che può eseguire azioni.

  • Le azioni che possono essere eseguite.

  • Le risorse sui cui si possono eseguire operazioni.

Per ulteriori informazioni, consultare Controllo degli accessi ai servizi con endpoint VPC nella Guida per l'utente di Amazon VPC.

Nota

Le policy sugli endpoint VPC non sono supportate per gli endpoint di runtime AI del Federal Information Processing Standard (FIPS) SageMaker per. runtime_InvokeEndpoint

L'esempio seguente di policy sugli endpoint VPC specifica che tutti gli utenti che hanno accesso all'endpoint dell'interfaccia VPC possono richiamare l'endpoint ospitato dall'IA denominato. SageMaker myEndpoint

{
  "Statement": [
      {
          "Action": "sagemaker:InvokeEndpoint",
          "Effect": "Allow",
          "Resource": "arn:aws:sagemaker:us-west-2:123456789012:endpoint/myEndpoint",
          "Principal": "*"
      }
  ]
}

In questo esempio, viene rifiutato quanto segue:

  • Altre SageMaker azioni API, come e. sagemaker:CreateEndpoint sagemaker:CreateTrainingJob

  • Richiamo di endpoint ospitati dall' SageMaker IA diversi da. myEndpoint

Nota

In questo esempio, gli utenti possono comunque intraprendere altre azioni SageMaker API dall'esterno del VPC. Per informazioni su come limitare chiamate API per gli utenti interni al VPC, consulta Controlla l'accesso all'API SageMaker AI utilizzando politiche basate sull'identità.

Per creare un endpoint VPC per Amazon SageMaker Feature Store, utilizza il seguente modello di endpoint, sostituendo il tuo e: VPC_Endpoint_ID.api Region

VPC_Endpoint_ID.api.featurestore-runtime.sagemaker.Region.vpce.amazonaws.com

Per chiamare l' SageMaker API e SageMaker AI Runtime tramite il tuo VPC, devi connetterti da un'istanza all'interno del VPC o connettere la tua rete privata al tuo VPC utilizzando un AWS Virtual Private Network (Site-to-Site VPN) o Direct Connect. Per informazioni su Site-to-Site VPN, consulta le connessioni VPN nella Amazon Virtual Private Cloud User Guide. Per informazioni su AWS Direct Connect, consulta Creazione di una connessione nella Guida per l'utente di AWS Direct Connect.