セキュリティとアクセスコントロール

カスタマーマネージドキーを作成、管理できます。これには、キーポリシー、IAM ポリシー、カスタマーマネージドキーへのアクセスを制御する権限付与の設定が含まれます。カスタマーマネージドキーの有効化または無効化、自動キーローテーションの有効化または無効化、使用しなくなったカスタマーマネージドキーの削除を行えます。

インポートされたキーマテリアルを持つカスタマーマネージドキー、またはユーザーが所有して管理するカスタムキーストアで、カスタマーマネージドキーを使用できます。

AWS KMS AWS CloudTrail ログで への API コールを調べることで、オンラインストアまたはオフラインストアの暗号化と復号化を監査できます。

「kms:Encrypt」、「kms:Decrypt」、「kms:DescribeKey」、「kms:CreateGrant」、「kms:RetireGrant」、「kms:ReEncryptFrom」、「kms:ReEncryptTo」、「kms:GenerateDataKey」、「kms:ListAliases」、「kms:ListGrants」、「kms:RevokeGrant」

Feature Store がカスタマーマネージドキーを暗号化操作に使用して、権限付与の作成ができるようにします。ただし、Feature Store を使用する許可を持つアカウント内のプリンシパルの代理として動作している場合に限ります。ポリシーステートメントで指定されたプリンシパルに Feature Store を使う許可がない場合、Feature Store サービスから呼び出された場合でも、呼び出しは失敗します。

kms:ViaService 条件キーは、ポリシーステートメントにリストされているプリンシパルの代わりに Feature Store からリクエストが来る場合にのみ許可を認めます。これらのプリンシパルは、これらのオペレーションを直接呼び出すことはできません。kms:ViaService の値は sagemaker.*.amazonaws.com としてください。

カスタマーマネージドキー管理者に、カスタマーマネージドキーへの読み取り専用アクセス権と、権限付与 (データ保護のために Feature Store が使う権限を含む) を取り消す許可を与えます。

PutRecord – 必須 sagemaker:PutRecord

UpdateRecord – が必要ですsagemaker:PutRecord。 UpdateRecord には個別の IAM アクションはありません。代わりに、IAM は sagemaker:PutRecordアクションUpdateRecordに対して を承認します。を許可または拒否するポリシーは、 sagemaker:PutRecordにも適用されますUpdateRecord。既存のポリシーを更新する必要はありません。

GetRecord – 必須 sagemaker:GetRecord

DeleteRecord – 必須 sagemaker:DeleteRecord

ListRecords – 必須 sagemaker:ListRecords

BatchWriteRecord – sagemaker:BatchWriteRecordと が必要です sagemaker:PutRecord

BatchGetRecord – 必須 sagemaker:BatchGetRecord

sagemaker:IsUpdateRecord – リクエストが UpdateRecordコールtrueの場合は に設定し、リクエストが PutRecordコールfalseの場合は に設定します。このキーは、 がBatchWriteRecord実行するPutRecordチェックを含め、他の DataPlane オペレーションには存在しません。

sagemaker:UpdatableFeatures – UpdateRecordリクエストに含まれる機能名のリスト。リクエストで機能が指定されていない場合、IAM はこのキーを省略します。このキーは空のリストには存在しません。これにより、空のセットに対してForAllValues条件が評価されるのを防ぐことができます。このキーはPutRecordリクエストには存在しません。

次の JSON IAM ポリシーでは、特徴量グループのUpdateRecord呼び出しのみを許可し、直接PutRecord呼び出しをブロックします。このポリシーは もブロックしますBatchWriteRecord。がBatchWriteRecord実行するsagemaker:PutRecord認可チェック中にsagemaker:IsUpdateRecordキーが存在しません。を許可する必要がある場合はBatchWriteRecord、 IsUpdateRecord条件を指定せずに別のステートメントを追加します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sagemaker:PutRecord",
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:feature-group/test-fg",
            "Condition": {
                "Bool": {
                    "sagemaker:IsUpdateRecord": "true"
                }
            }
        }
    ]
}

次の JSON IAM ポリシーは、特徴量グループのPutRecord呼び出しを許可し、UpdateRecord呼び出しをブロックします。BoolIfExists 条件演算子は、 ステートメントが がBatchWriteRecord実行するsagemaker:PutRecordチェックと一致することを確認します。の場合BatchWriteRecord、認可コンテキストには は含まれませんsagemaker:IsUpdateRecord。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sagemaker:PutRecord",
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:feature-group/test-fg",
            "Condition": {
                "BoolIfExists": {
                    "sagemaker:IsUpdateRecord": "false"
                }
            }
        }
    ]
}

次の JSON IAM ポリシーは、リクエストに含まれる他の機能に関係なく、機密機能を変更しようとするUpdateRecord呼び出しを拒否します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "sagemaker:PutRecord",
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:feature-group/test-fg",
            "Condition": {
                "Bool": {
                    "sagemaker:IsUpdateRecord": "true"
                },
                "ForAnyValue:StringEquals": {
                    "sagemaker:UpdatableFeatures": ["ssn", "credit_score"]
                }
            }
        }
    ]
}

次の JSON IAM ポリシーでは、リクエストされたすべての機能が承認済みの safe-to-update リストにある場合にのみUpdateRecord呼び出しを許可します。true キーがない場合、ForAllValues演算子は と評価するため、 Null条件が存在するsagemaker:UpdatableFeatures必要があります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sagemaker:PutRecord",
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:feature-group/test-fg",
            "Condition": {
                "Bool": {
                    "sagemaker:IsUpdateRecord": "true"
                },
                "Null": {
                    "sagemaker:UpdatableFeatures": "false"
                },
                "ForAllValues:StringEquals": {
                    "sagemaker:UpdatableFeatures": ["last_login", "click_count"]
                }
            }
        }
    ]
}