sourceIdentity を使用して SageMaker AI Studio Classic からの個々のユーザーリソースアクセスをモニタリングする

Amazon SageMaker Studio Classic で、ユーザーリソースのアクセスをモニタリングできます。リソースアクセスアクティビティを表示するには、「Log Amazon SageMaker API Calls with AWS CloudTrail」の手順に従って、ユーザーアクティビティをモニタリングおよび記録 AWS CloudTrail するように を設定できます。

ただし、リソースアクセスの AWS CloudTrail ログには、Studio Classic 実行 IAM ロールのみが識別子としてリストされます。このレベルのログは、各ユーザープロファイルに異なる実行ロールが割り当てられている場合、ユーザーアクティビティを監査するのに十分です。ただし、単一の実行 IAM ロールが複数のユーザープロファイル間で共有されている場合、 AWS リソースにアクセスした特定のユーザーに関する情報を取得することはできません。 

共有実行ロールを使用すると、sourceIdentity 設定を使用して Studio Classic ユーザープロファイル名を伝達し、どの特定のユーザーが AWS CloudTrail ログでアクションを実行したかについての情報を得ることができます。ソース ID の詳細については、「引き受けたロールで実行されるアクションのモニタリングとコントロールアクション」を参照してください。CloudTrail ログの sourceIdentity のオンまたはオフを切り替えるには、「SageMaker AI Studio Classic の CloudTrail ログで sourceIdentity を有効にする」を参照してください。

sourceIdentity を使用する場合の考慮事項

Studio Classic ノートブック、SageMaker Canvas、または Amazon SageMaker Data Wrangler から AWS API コールを行うと、 sourceIdentityは、それらのコールが Studio Classic 実行ロールセッションまたはそのセッションからの連鎖されたロールを使用して行われた場合にのみ CloudTrail に記録されます。

これらの API 呼び出しが他のサービスを呼び出して追加の操作を実行する場合、sourceIdentity のログは呼び出されたサービスの特定の実装に依存します。