マルチターン RL ジョブの VPC を設定する

マルチターン RL ジョブ設定VpcConfigで を指定すると、Amazon SageMaker AI はプロキシ Elastic Network Interface (ENI) を VPC に配置します。S3 バケットへのアクセス、エージェントの呼び出し、ログ記録を含むすべての顧客データトラフィックは、この ENI を経由します。これにより、データは VPC ネットワーク境界内に保持されます。

必要な VPC のセットアップ

サブネット

冗長性を確保するために、異なるアベイラビリティーゾーンに 2 つ以上のプライベートサブネットを指定します。すべてのトラフィックは VPC エンドポイントを経由するため、サブネットには NAT ゲートウェイやインターネットアクセスは必要ありません。

セキュリティグループ

次のアウトバウンドルールを使用してセキュリティグループを作成します。インバウンドルールは必要ありません。

VPC エンドポイント

プロキシ ENI からのトラフィックがインターネットアクセスなしで AWS サービスに到達できるように、次の VPC エンドポイントを作成します。

インターフェイスエンドポイントセキュリティグループ

すべてのインターフェイスエンドポイントは、VPC CIDR からのインバウンド TCP 443 とセキュリティグループを共有する必要があります。

IAM アクセス許可

実行ロールには、ENI 管理のための EC2 アクセス許可を含める必要があります。ロールに次のポリシーステートメントを追加します。

[
    {
        "Effect": "Allow",
        "Action": [
            "ec2:CreateNetworkInterface",
            "ec2:CreateNetworkInterfacePermission",
            "ec2:DeleteNetworkInterface",
            "ec2:DeleteNetworkInterfacePermission",
            "ec2:DescribeNetworkInterfaces",
            "ec2:DescribeSubnets",
            "ec2:DescribeSecurityGroups",
            "ec2:DescribeVpcs"
        ],
        "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": [
            "ec2:CreateTags"
        ],
        "Resource": "arn:aws:ec2:*:*:network-interface/*",
        "Condition": {
            "StringEquals": {
                "ec2:CreateAction": "CreateNetworkInterface"
            }
        }
    }
]

API 設定

マルチターン RL ジョブリクエストに VpcConfigパラメータを含めます。

"VpcConfig": {
    "Subnets": ["subnet-0abc123", "subnet-0def456"],
    "SecurityGroupIds": ["sg-0abc123def"]
}

VPC へのアクセスを制限する

VPC 設定をさらに保護するために、追加の制限を適用できます。

S3 バケットポリシー

VPC への S3 アクセスのみを制限するには、 aws:SourceVpc条件で拒否ポリシーを追加します。

{
    "Sid": "DenyAccessFromOutsideVpc",
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": [
        "arn:aws:s3:::my-mtrl-bucket",
        "arn:aws:s3:::my-mtrl-bucket/*"
    ],
    "Condition": {
        "StringNotEquals": {
            "aws:SourceVpc": "vpc-0abc123def"
        }
    }
}

VPC エンドポイントポリシー

マルチターン RL ジョブに必要なアクションのみを許可するようにインターフェイスエンドポイントを制限できます。次の例では、CloudWatch Logs エンドポイントを /aws/sagemaker/Job/ プレフィックスを持つロググループに制限します。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/sagemaker/Job/*"
        }
    ]
}