기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

SageMaker 호스팅 엔드포인트에 Amazon의 리소스에 대한 액세스 권한 부여 VPC

Amazon VPC Access 모델 구성

프라이빗 에서 서브넷 및 보안 그룹을 지정하려면 CreateModel 의 VpcConfig 요청 파라미터를 VPC사용하거나 SageMaker 콘솔에서 모델을 생성할 때 이 정보를 API제공합니다. 는 이 정보를 SageMaker 사용하여 네트워크 인터페이스를 생성하고 모델 컨테이너에 연결합니다. 네트워크 인터페이스는 인터넷에 연결VPC되지 않은 의 네트워크 연결을 모델 컨테이너에 제공합니다. 또한 모델을 프라이빗 의 리소스에 연결할 수 있습니다VPC.

다음은 CreateModel작업 호출에 포함할 VpcConfig파라미터의 예입니다.

VpcConfig: {
      "Subnets": [
          "subnet-0123456789abcdef0",
          "subnet-0123456789abcdef1",
          "subnet-0123456789abcdef2"
          ],
      "SecurityGroupIds": [
          "sg-0123456789abcdef0"
          ]
       }

SageMaker 호스팅을 VPC 위한 프라이빗 구성

SageMaker 모델에 VPC 대해 프라이빗을 구성할 때는 다음 지침을 사용합니다. 를 설정하는 방법에 대한 자세한 내용은 Amazon VPC 사용 설명서의 및 서브넷 작업을 VPC참조하세요. VPCs

서브넷에 충분한 IP 주소를 확보해야 합니다

Elastic Fabric Adapter(EFA)를 사용하지 않는 훈련 인스턴스에는 최소 2개의 프라이빗 IP 주소가 있어야 합니다. 를 사용하는 훈련 인스턴스에는 최소 5개의 프라이빗 IP 주소가 있어야 EFA 합니다. 자세한 내용은 Amazon EC2 사용 설명서의 여러 IP 주소를 참조하세요.

Amazon S3 VPC 엔드포인트 생성

모델 컨테이너가 인터넷에 액세스할 수 VPC 없도록 를 구성하는 경우 액세스를 허용하는 VPC 엔드포인트를 생성하지 않으면 데이터가 포함된 Amazon S3 버킷에 연결할 수 없습니다. VPC 엔드포인트를 생성하면 모델 컨테이너가 데이터 및 모델 아티팩트를 저장하는 버킷에 액세스할 수 있습니다. 또한 프라이빗의 요청만 S3 버킷VPC에 액세스할 수 있도록 허용하는 사용자 지정 정책을 생성하는 것이 좋습니다. 자세한 내용은 Amazon S3용 엔드포인트를 참조하세요.

사용자 지정 엔드포인트 정책을 사용하여 Amazon S3에 대한 액세스 제한

기본 엔드포인트 정책은 의 모든 사용자 또는 서비스에 대해 Amazon Simple Storage Service(Amazon S3)에 대한 전체 액세스를 허용합니다VPC. Amazon S3에 대한 액세스를 추가로 제한하려면 사용자 지정 엔드포인트 정책을 생성합니다. 자세한 내용은 Amazon S3용 엔드포인트 정책 사용을 참조하세요.

버킷 정책을 사용하여 S3 버킷에 대한 액세스를 Amazon 에서 들어오는 트래픽으로만 제한할 수도 있습니다VPC. 자세한 내용은 Amazon S3 버킷 정책 사용을 참조하세요.

사용자 지정 엔드포인트 정책을 사용하여 모델 컨테이너에서 패키지 설치를 제한

기본 엔드포인트 정책은 사용자가 모델 컨테이너에 있는 Amazon Linux 및 Amazon Linux 2 리포지토리에서 패키지를 설치하도록 허용합니다. 사용자가 해당 리포지토리의 패키지를 설치하지 않도록 하려면 Amazon Linux 및 Amazon Linux 2 리포지토리에 대한 액세스를 명시적으로 거부하는 사용자 지정 엔드포인트 정책을 생성합니다. 다음은 이러한 리포지토리에 대한 액세스를 거부하는 정책의 예입니다.

{ 
    "Statement": [ 
      { 
        "Sid": "AmazonLinuxAMIRepositoryAccess",
        "Principal": "*",
        "Action": [ 
            "s3:GetObject" 
        ],
        "Effect": "Deny",
        "Resource": [
            "arn:aws:s3:::packages.*.amazonaws.com/*",
            "arn:aws:s3:::repo.*.amazonaws.com/*"
        ] 
      } 
    ] 
} 

{ 
    "Statement": [ 
        { "Sid": "AmazonLinux2AMIRepositoryAccess",
          "Principal": "*",
          "Action": [ 
              "s3:GetObject" 
              ],
          "Effect": "Deny",
          "Resource": [
              "arn:aws:s3:::amazonlinux.*.amazonaws.com/*" 
              ] 
         } 
    ] 
} 

사용자 VPC 지정 IAM 정책에 에서 실행되는 컨테이너에 대한 엔드포인트 액세스 권한 추가

SageMakerFullAccess 관리형 정책에는 엔드포인트를 사용한 Amazon VPC 액세스에 대해 구성된 모델을 사용하는 데 필요한 권한이 포함되어 있습니다. 이러한 권한을 통해 SageMaker 는 탄력적 네트워크 인터페이스를 생성하고 에서 실행되는 모델 컨테이너에 연결할 수 있습니다VPC. 자체 IAM 정책을 사용하는 경우 VPC 액세스용으로 구성된 모델을 사용하려면 해당 정책에 다음 권한을 추가해야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:DeleteNetworkInterface",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:CreateNetworkInterface"
            ],
            "Resource": "*"
        }
    ]
}

SageMakerFullAccess 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책: AmazonSageMakerFullAccess을 참조하세요.

라우팅 테이블 구성

엔드포인트 라우팅 테이블에 기본 DNS 설정을 사용하여 표준 Amazon S3URLs(예: http://s3-aws-region.amazonaws.com/amzn-s3-demo-bucket)가 확인되도록 합니다. 기본 DNS 설정을 사용하지 않는 경우 모델에서 데이터의 위치를 지정하는 데 URLs 사용하는 이 엔드포인트 라우팅 테이블을 구성하여 해석되는지 확인합니다. VPC 엔드포인트 라우팅 테이블에 대한 자세한 내용은 Amazon VPC 사용 설명서의 Gateway 엔드포인트 라우팅을 참조하세요.

외부 리소스에 연결 VPC

인터넷에 액세스할 수 VPC 없도록 를 구성하는 경우 를 사용하는 모델은 외부의 리소스에 액세스할 수 VPC 없습니다VPC. 모델이 외부의 리소스에 액세스해야 하는 경우 다음 옵션 중 하나를 사용하여 액세스를 VPC제공합니다.