Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Controllo dell'accesso e impostazione delle autorizzazioni per i notebook SageMaker Studio
Amazon SageMaker Studio utilizza le autorizzazioni relative ai file system e ai container per il controllo degli accessi e l'isolamento degli utenti e dei notebook di Studio. Questa è una delle principali differenze tra i notebook Studio e le istanze notebook. SageMaker Questo argomento descrive come vengono impostate le autorizzazioni per evitare minacce alla sicurezza, cosa fa l' SageMaker intelligenza artificiale per impostazione predefinita e come il cliente può personalizzare le autorizzazioni. Per ulteriori informazioni sui notebook Studio e sul relativo ambiente di esecuzione, consulta Usa i notebook Amazon SageMaker Studio Classic.
SageMaker Autorizzazioni per le app AI
Un utente run-as è un POSIX user/group utilizzato per eseguire l' JupyterServer app e KernelGateway le app all'interno del contenitore.
L'utente run-as per l' JupyterServer app è sagemaker-user (1000) per impostazione predefinita. Questo utente dispone delle autorizzazioni sudo per abilitare l'installazione di dipendenze come i pacchetti yum.
L'utente run-as per le KernelGateway app è root (0) per impostazione predefinita. Questo utente è in grado di installare le dipendenze utilizzando -. pip/apt get/conda
A causa della rimappatura degli utenti, nessuno degli utenti è in grado di accedere alle risorse o apportare modifiche all'istanza host.
Rimappatura degli utenti
SageMaker L'intelligenza artificiale esegue la rimappatura degli utenti per mappare un utente all'interno del contenitore a un utente sull'istanza host esterna al contenitore. L'intervallo di ID utente (0 - 65535) nel container viene mappato su ID utente non privilegiati superiori a 65535 sull'istanza. Ad esempio, sagemaker-user (1000) all'interno del container potrebbe essere mappato all'utente (200001) sull'istanza, dove il numero tra parentesi è l'ID utente. Se il cliente ne crea una nuova user/group all'interno del contenitore, non avrà il privilegio sull'istanza host indipendentemente dall' user/group ID. L'utente root del container viene inoltre mappato su un utente non privilegiato sull'istanza. Per ulteriori informazioni, consulta Isolare i container con uno spazio dei nomi utente
Nota
I file creati dall'utente sagemaker-user possono sembrare di proprietà di sagemaker-studio (uid 65534). Questo è un effetto collaterale di una modalità di creazione rapida di app in cui le immagini dei container SageMaker AI vengono preestratte, consentendo alle applicazioni di avviarsi in meno di un minuto. Se l'applicazione richiede che l'UID del proprietario del file e l'UID del proprietario del processo corrispondano, chiedi al servizio clienti di rimuovere il tuo numero di account dalla funzione di preestrazione delle immagini.
Autorizzazioni personalizzate per le immagini
I clienti possono portare le proprie SageMaker immagini personalizzate. Queste immagini possono specificare un run-as diverso user/group per l'avvio dell' KernelGateway app. Il cliente può implementare un controllo Fine Grained delle autorizzazioni all'interno dell'immagine, ad esempio per disabilitare l'accesso principale o eseguire altre operazioni. La stessa mappatura degli utenti si applica qui. Per ulteriori informazioni, consulta Immagini personalizzate in Amazon SageMaker Studio Classic.
Isolamento del container
Docker mantiene un elenco di funzionalità predefinite che il contenitore può utilizzare. SageMaker L'intelligenza artificiale non aggiunge funzionalità aggiuntive. SageMaker L'intelligenza artificiale aggiunge regole di routing specifiche per bloccare le richieste ad Amazon EFS e all'Instance Metadata Service (IMDS) dal contenitore. I clienti non possono modificare queste regole di percorso dal container. Per ulteriori informazioni, consulta Privilegi di runtime e funzionalità Linux
Accesso ai metadati delle app
I metadati utilizzati dalle app in esecuzione vengono montati nel container con autorizzazione di sola lettura. I clienti non sono in grado di modificare questi metadati dal container. Per i metadati disponibili, consulta Ottieni i metadati delle app e dei notebook Amazon SageMaker Studio Classic.
Isolamento degli utenti su EFS
Quando entri in Studio, l' SageMaker IA crea un volume Amazon Elastic File System (EFS) per il tuo dominio condiviso da tutti gli utenti di Studio nel dominio. Ogni utente ottiene la propria home directory privata sul volume EFS. Questa home directory viene utilizzata per archiviare i notebook dell'utente, i repository Git e altri dati. Per impedire ad altri utenti del dominio di accedere ai dati dell'utente, SageMaker AI crea un ID utente univoco a livello globale per il profilo dell'utente e lo applica come user/group ID POSIX per la home directory dell'utente.
Accesso EBS
Un volume Amazon Elastic Block Store (Amazon EBS) viene collegato all'istanza host e condiviso tra tutte le immagini. Viene utilizzato per il volume root dei notebook e archivia i dati temporanei generati all'interno del container. Lo storage non viene mantenuto quando l'istanza che esegue i notebook viene eliminata. L'utente root all'interno del container non può accedere al volume EBS.
Accesso IMDS
A causa di problemi di sicurezza, l'accesso all'Instance Metadata Service (IMDS) di Amazon Elastic Compute Cloud (Amazon EC2) non è disponibile in Studio. SageMaker Per ulteriori informazioni su IMDS, consulta Metadati dell'istanza e dati utente.
