の Amazon SageMaker Studio VPCを外部リソースに接続する

プライベートサブネットのみを使用する必要があります。パブリックサブネットは、VpcOnly モードでは使用できません。

サブネットに必要な IP アドレス数があることを確認してください。ユーザー 1 人あたりに必要な IP アドレスの数は、ユースケースによって異なる場合があります。ユーザー 1 人につき 2～4 個の IP アドレスを推奨します。ドメインの合計 IP アドレス容量は、ドメインの作成時に提供されるサブネットごとに使用可能な IP アドレスの合計です。予想される IP アドレスの使用数が、指定するサブネットの数でサポートされる数を超えないようにしてください。また、多数のアベイラビリティーゾーンに分散されたサブネットを使用すると、IP アドレスの可用性を高めることができます。詳細については、VPC「」および「 のサブネットサイズIPv4」を参照してください。

以下のトラフィックを許可するインバウンドルールとアウトバウンドルールを使用して、1 つ以上のセキュリティグループを設定します。

ユーザープロファイルごとに個別のセキュリティグループを作成し、同じセキュリティグループからのインバウンドアクセスを追加します。ドメインレベルのセキュリティグループをユーザープロファイルに再利用することはお勧めしません。ドメインレベルのセキュリティグループがそれ自体へのインバウンドアクセスを許可すると、ドメイン内のすべてのアプリケーションがドメイン内の他のすべてのアプリケーションにアクセスできるようになります。

インターネットアクセスを許可する場合は、インターネットNATゲートウェイ など、インターネットにアクセスできるゲートウェイを使用する必要があります。

インターネットアクセスを許可しない場合は、インターフェイスVPCエンドポイント () を作成して、Studio が対応するサービス名を使用して次のサービスにアクセスできるようにします。AWS PrivateLinkまた、 のセキュリティグループをこれらのエンドポイントVPCに関連付ける必要があります。

SageMaker Python SDK を使用してリモートトレーニングジョブを実行する場合は、次の Amazon VPCエンドポイントも作成する必要があります。

オンプレミスネットワークから VpcOnly モードでドメインを使用する場合は、ブラウザで Studio を実行しているホストのネットワークとターゲット Amazon からプライベート接続を確立しますVPC。Studio UI は一時的な AWS 認証情報を使用したAPI呼び出しを使用して AWS エンドポイントを呼び出すため、これは必要です。これらの一時的な認証情報は、ログに記録されたユーザープロファイルの実行ロールに関連付けられます。ドメインがオンプレミスネットワークで VpcOnly モードで設定されている場合、実行ロールは、設定された Amazon VPCエンドポイントを介してのみ AWS サービスAPI呼び出しを実行するIAMポリシー条件を定義する場合があります。これにより、Studio UI から実行されるAPI呼び出しが失敗します。これを解決するには、 AWS Site-to-Site VPNまたは AWS Direct Connect接続を使用することをお勧めします。