翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

SageMaker Canvas データを で暗号化する AWS KMS

Amazon SageMaker Canvas の使用中に暗号化するデータがある場合があります。例えば、プライベート企業情報や顧客データなどです。 SageMaker Canvas は AWS Key Management Service を使用してデータを保護します。 AWS KMS は、データを暗号化するための暗号化キーを作成および管理するために使用できるサービスです。の詳細については AWS KMS、「 デベロッパーガイドAWS Key Management Service」の「」を参照してください。 AWS KMS

Amazon SageMaker Canvas には、データを暗号化するためのいくつかのオプションが用意されています。 SageMaker Canvas は、モデルの構築やインサイトの生成などのタスクのために、アプリケーション内でデフォルトの暗号化を提供します。Amazon S3 に保存されているデータを暗号化して、保管中のデータを保護することもできます。 SageMaker Canvas は暗号化されたデータセットのインポートをサポートしているため、暗号化されたワークフローを確立できます。以下のセクションでは、 AWS KMS 暗号化を使用して SageMaker Canvas でモデルを構築しながらデータを保護する方法について説明します。

SageMaker Canvas でデータを暗号化する

SageMaker Canvas では、2 つの異なる AWS KMS 暗号化キーを使用して SageMaker Canvas でデータを暗号化できます。これは、標準ドメイン設定を使用してドメインを設定するときに指定できます。これらのキーは、次のドメイン設定ステップで指定します。

上記のキーは、同じキーでも異なるKMSキーでもかまいません。

前提条件

前述の目的のいずれかで独自のKMSキーを使用するには、まずキーを使用するためのアクセス許可をユーザーIAMロールに付与する必要があります。次に、ドメインを設定するときに KMSキーを指定できます。

キーを使用する権限をロールに付与する最も簡単な方法は、キーポリシーを変更することです。必要な権限をロールに付与するには、次の手順に従います。

あまり推奨されない方法は、キーを使用または管理するアクセス許可をユーザーに付与するようにユーザーIAMロールを変更する方法ですKMS。この方法を使用する場合、KMSキーポリシーは によるアクセス管理も許可する必要がありますIAM。ユーザーIAMロールを通じてKMSキーにアクセス許可を付与する方法については、「 AWS KMS デベロッパーガイド」のIAM「ポリシーステートメントでのKMSキーの指定」を参照してください。

時系列予測の前提条件

SageMaker Canvas でキーを使用して時系列予測モデル AWS KMS を暗号化するには、オブジェクトを Amazon S3 に保存するために使用するKMSキーのキーポリシーを変更する必要があります。キーポリシーはAmazonSageMakerCanvasForecastRole、ユーザーに時系列予測アクセス許可を付与するときに SageMaker が作成するアクセス許可を に付与する必要があります。 https://docs.aws.amazon.com/sagemaker/latest/dg/canvas-set-up-forecast.htmlAmazon Forecast はAmazonSageMakerCanvasForecastRole、 を使用して SageMaker Canvas で時系列予測オペレーションを実行します。時系列予測のためにデータが暗号化されるようにするには、KMSキーがこのロールにアクセス許可を付与する必要があります。

暗号化された時系列予測を許可するようにKMSキーポリシーのアクセス許可を変更するには、以下を実行します。

KMS キーを使用して SageMaker Canvas の時系列予測オペレーションを暗号化できるようになりました。

{
            "Sid": "Enable IAM Permissions for Amazon Forecast KMS access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "<arn:aws:iam::111122223333:role/AmazonSageMaker-111122223333>"
            },
            "Action": [
                    "kms:Decrypt", 
                    "kms:DescribeKey",
                    "kms:CreateGrant",
                    "kms:RetireGrant",
                    "kms:GenerateDataKey" 
                    "kms:GenerateDataKeyWithoutPlainText",
            ],
            "Resource": "*"
}

SageMaker Canvas アプリケーションでデータを暗号化する

SageMaker Canvas で使用できる最初のKMSキーは、Amazon Elastic Block Store (Amazon EBS) ボリュームとドメインに SageMaker が作成する Amazon Elastic File System に保存されているアプリケーションデータの暗号化に使用されます。 SageMaker Canvas は、モデルの構築とインサイトの生成にコンピューティングインスタンスを使用する際に作成された基盤となるアプリケーションと一時ストレージシステムで、このキーを使用してデータを暗号化します。 SageMaker Canvas SageMaker は、Canvas がデータを処理するためにジョブを開始するたびに、Autopilot などの他の AWS サービスにキーを渡します。

このキーを指定するには、 をCreateDomainAPI呼び出しKmsKeyIDで設定するか、コンソールで標準ドメイン設定を行います。独自のKMSキーを指定しない場合、 はデフォルトの AWS マネージドKMSキー SageMaker を使用して SageMaker Canvas アプリケーションでデータを暗号化します。

コンソールを介して SageMaker Canvas アプリケーションで使用するために独自のKMSキーを指定するには、まず標準セットアップ を使用して Amazon SageMaker ドメインを設定します。ドメインのネットワークとストレージセクションを完了するには、次の手順に従います。

Amazon S3 に保存されている SageMaker Canvas データを暗号化する Amazon S3

指定できる 2 番目のKMSキーは、Canvas SageMaker が Amazon S3 に保存するデータに使用されます。このKMSキーは、CreateDomainAPI呼び出しの S3KMSKeyIdフィールドで、または SageMaker コンソールで標準ドメイン設定を実行している間に指定されます。 SageMaker Canvas は、入力データセット、アプリケーションおよびモデルデータの複製、および出力データをアカウントのリージョンのデフォルト SageMaker S3 バケットに保存します。このバケットの命名パターンは でs3://sagemaker-{Region}-{your-account-id}、Canvas SageMaker はデータを Canvas/フォルダに保存します。

Amazon S3 から暗号化されたデータセットをインポートする

ユーザーには、KMSキーで暗号化されたデータセットがある場合があります。前のセクションでは SageMaker 、Canvas 内のデータと Amazon S3 に保存されているデータを暗号化する方法を示していますが、 で既に暗号化されている Amazon S3 からデータをインポートする場合は、ユーザーのIAMロールに追加のアクセス許可を付与する必要があります AWS KMS。

Amazon S3 から Canvas に暗号化されたデータセットをインポートするアクセス許可をユーザーに付与するには、ユーザープロファイルに使用したIAM実行ロールに次のアクセス許可を追加します。 SageMaker

      "kms:Decrypt",
      "kms:GenerateDataKey"
   

ロールのIAMアクセス許可を編集する方法については、IAM「 ユーザーガイド」のIAM「ID アクセス許可の追加と削除」を参照してください。KMS キーの詳細については、「 デベロッパーガイド」の「 のキーポリシー AWS Key Management Service」を参照してください。 AWS KMS

FAQs

SageMaker Canvas AWS KMS サポートに関するよくある質問への回答については、以下のFAQ項目を参照してください。