Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia a riposo per il reinforcement learning a più turni

Opzioni per la crittografia a riposo

Multi-turn i lavori di reinforcement learning in Amazon SageMaker AI crittografano tutti i dati inattivi. I dati di input di addestramento, i dati di output (inclusi i checkpoint del modello e gli artefatti del modello addestrato) e i dati intermedi archiviati in Amazon S3 sono crittografati utilizzando la crittografia lato server. Non è necessario eseguire alcuna configurazione aggiuntiva per garantire che i dati siano crittografati quando sono inattivi.

Amazon SageMaker AI supporta le seguenti opzioni di crittografia per i lavori RL a turni multipli:

Crittografia dei dati inattivi utilizzando la crittografia gestita dal cliente AWS KMS keys

In che modo l'RL a più turni utilizza una chiave KMS gestita dal cliente

Quando specifichi una chiave KMS gestita dal cliente nella configurazione di output del tuo processo RL a più turni, Amazon SageMaker AI utilizza tale chiave per crittografare le seguenti risorse in Amazon S3:

Quando specifichi una chiave KMS gestita dal cliente, Amazon SageMaker AI utilizza due meccanismi per crittografare i dati:

Durante un processo di formazione, si verificano le seguenti operazioni: AWS KMS

Il servizio non memorizza nella cache le chiavi di dati. Ogni operazione di lettura o scrittura di Amazon S3 effettua chiamate operative AWS KMS in modo indipendente tramite l'integrazione del servizio Amazon S3.

Configurazione di una chiave KMS gestita dal cliente

Multi-turn I lavori RL supportano solo chiavi simmetriche AWS KMS . Multi-region le chiavi non sono supportate.

Configurazione delle autorizzazioni per l'utilizzo di una chiave KMS gestita dal cliente

Per utilizzare una chiave KMS gestita dal cliente con processi RL a più turni, devi configurare le autorizzazioni sia per il ruolo di esecuzione IAM che per la policy delle chiavi KMS.

Autorizzazioni del ruolo di esecuzione

Il ruolo di esecuzione IAM che passi all'CreateJobAPI deve avere le seguenti autorizzazioni. AWS KMS Queste autorizzazioni consentono al processo di formazione di crittografare i dati di output e decrittografare i dati di input tramite Amazon S3.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "KMSPermissionsForS3Encryption",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:region:account-id:key/key-id",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.*.amazonaws.com"
                }
            }
        }
    ]
}

La kms:ViaService condizione limita l'uso della chiave alle richieste che arrivano tramite Amazon S3, impedendo che la chiave venga utilizzata per altri scopi.

Policy della chiave KMS

La policy delle chiavi KMS predefinita consente già ai ruoli IAM nello stesso account di utilizzare la chiave. Facoltativamente, puoi aggiungere la seguente dichiarazione per limitare ulteriormente l'accesso per consentire al ruolo di esecuzione di utilizzare la chiave solo tramite Amazon S3:

{
    "Sid": "AllowMTRLJobEncryption",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::account-id:role/SageMakerExecutionRole"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": "s3.*.amazonaws.com"
        }
    }
}

Per consentire al chiamante di creare sovvenzioni e descrivere la chiave, aggiungi la seguente dichiarazione alla policy chiave:

{
    "Sid": "AllowCreateGrantForCaller",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::account-id:role/CallerRole"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "account-id"
        },
        "StringLike": {
            "kms:ViaService": "sagemaker.*.amazonaws.com"
        },
        "Bool": {
            "kms:GrantIsForAWSResource": "true"
        }
    }
}

Creazione di un lavoro RL a più turni con una chiave KMS gestita dal cliente

Per crittografare i dati di output con la chiave KMS gestita dal cliente, specifica la chiave ARN nel KmsKeyArn campo della OutputDataConfig richiesta. CreateJob Per ulteriori informazioni, consulta l'SageMaker AI API CreateJobReference.

L'esempio seguente mostra come specificare una chiave KMS in: OutputDataConfig

{
    "OutputDataConfig": {
        "S3OutputPath": "s3://your-bucket/output/",
        "KmsKeyArn": "arn:aws:kms:region:account-id:key/key-id"
    }
}

Se i dati di input in Amazon S3 sono crittografati con una chiave gestita dal cliente (SSE-KMS), assicurati che il ruolo di esecuzione disponga dell'kms:Decryptautorizzazione per quella chiave. Puoi utilizzare la stessa chiave per la crittografia di input e output o chiavi diverse.

Definizione dell'accesso alla chiave KMS gestita dal cliente

Puoi utilizzare i seguenti meccanismi per limitare l'accesso alla tua chiave KMS gestita dal cliente:

Contesto di crittografia per lavori RL a turni multipli

Quando un processo RL a più turni crittografa i dati utilizzando la chiave KMS gestita dal cliente, Amazon SageMaker AI include un contesto di crittografia in ogni AWS KMS richiesta effettuata tramite Amazon S3. Un contesto di crittografia è un insieme di coppie chiave-valore che forniscono dati autenticati aggiuntivi (AAD) per le operazioni. AWS KMS Il contesto di crittografia è registrato AWS CloudTrail e può essere utilizzato nelle politiche chiave KMS e concede vincoli per limitare ulteriormente l'accesso.

Amazon SageMaker AI utilizza la seguente coppia chiave-valore del contesto di crittografia per i lavori di formazione RL in più turni:

{
    "aws:sagemaker:finetuning-job-arn": "arn:aws:sagemaker:region:account-id:job/AgentRFT/job-name"
}

Per i lavori di valutazione RL in più turni, il contesto di crittografia utilizza:

{
    "aws:sagemaker:agent-rft-evaluation-job-arn": "arn:aws:sagemaker:region:account-id:job/AgentRFTEvaluation/job-name"
}

Il contesto di crittografia è associato al processo specifico che crea i dati crittografati. Ogni processo crittografa il proprio output con il proprio ARN nel contesto di crittografia. Ciò fornisce un legame crittografico tra i dati crittografati e il lavoro che li ha prodotti.

Utilizzo del contesto di crittografia nelle politiche chiave

Il contesto di crittografia viene applicato automaticamente tramite i vincoli di concessione che Amazon SageMaker AI crea al momento della creazione di posti di lavoro. Non è necessario aggiungere condizioni di contesto di crittografia alla politica delle chiavi KMS affinché la crittografia funzioni correttamente.

Se aggiungi condizioni di contesto di crittografia all'kms:CreateGrantistruzione nella tua politica delle chiavi KMS, devi consentire l'assegnazione di sovvenzioni sia per il lavoro corrente che per il lavoro precedente nelle catene di formazione iterative. L'esempio seguente consente ad Amazon SageMaker AI di creare sovvenzioni con qualsiasi lavoro di formazione ARN nel contesto della crittografia:

{
    "Sid": "AllowCreateGrantForCaller",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::account-id:role/CallerRole"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": "sagemaker.*.amazonaws.com",
            "kms:EncryptionContext:aws:sagemaker:finetuning-job-arn": "arn:aws:sagemaker:region:account-id:job/AgentRFT/*"
        },
        "Bool": {
            "kms:GrantIsForAWSResource": "true"
        }
    }
}

Contesto di crittografia nell'addestramento iterativo

Quando si eseguono processi di formazione iterativi (in cui un processo successivo riprende dal checkpoint di un lavoro precedente), il contesto di crittografia per ogni lavoro contiene l'ARN di quel lavoro. Amazon SageMaker AI gestisce automaticamente due AWS KMS sovvenzioni per supportare la formazione iterativa:

Entrambe le sovvenzioni vengono automaticamente ritirate al termine del lavoro. Non è necessario aggiungere alcuna dichiarazione politica chiave aggiuntiva per una formazione iterativa sull'utilizzo delle chiavi gestite dai clienti.

Contesto di crittografia in AWS CloudTrail

Quando si CloudTrail esaminano i log per le chiamate AWS KMS API effettuate da processi RL a turni multipli, il contesto di crittografia viene visualizzato nel requestParameters campo della voce di registro. È possibile utilizzare queste informazioni per determinare quale processo ha eseguito una specifica operazione di crittografia o decrittografia sui dati.

Monitoraggio dell'interazione RL a più turni con AWS KMS

Puoi utilizzarlo AWS CloudTrail per monitorare le chiamate AWS KMS API effettuate per conto dei tuoi lavori RL a più turni. I seguenti nomi di CloudTrail eventi sono importanti per il monitoraggio dell'utilizzo delle chiavi KMS:

Nelle voci di CloudTrail registro relative a questi eventi, cerca i seguenti valori:

Per ulteriori informazioni sulla registrazione delle chiamate AWS KMS API, consulta Logging AWS KMS API call with AWS CloudTrail nella AWS KMS Developer Guide.