Amazon의 리소스에 대한 SageMaker AI 컴파일 작업 액세스 권한 부여 VPC - Amazon SageMaker AI
Amazon VPC Access에 대한 컴파일 작업 구성 SageMaker AI 컴파일VPC을 위한 프라이빗 구성

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon의 리소스에 대한 SageMaker AI 컴파일 작업 액세스 권한 부여 VPC

참고

컴파일 작업의 경우 공유 하드웨어에서 작업이 실행되는 기본 테넌시가 있는 서브넷만 구성할 수 VPC 있습니다. 의 테넌시 속성에 대한 자세한 내용은 전용 인스턴스를 VPCs참조하세요. https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/dedicated-instance.html

Amazon VPC Access에 대한 컴파일 작업 구성

프라이빗에서 서브넷 및 보안 그룹을 지정하려면의 VpcConfig 요청 파라미터를 VPC사용하거나 SageMaker AI 콘솔에서 컴파일 작업을 생성할 때이 정보를 CreateCompilationJob API제공합니다. SageMaker AI Neo는이 정보를 사용하여 네트워크 인터페이스를 생성하고 컴파일 작업에 연결합니다. 네트워크 인터페이스는 인터넷에 연결되지 VPC 않은의 네트워크 연결을 통해 컴파일 작업을 제공합니다. 또한 컴파일 작업이 프라이빗의 리소스에 연결할 수 있습니다VPC. 다음은 CreateCompilationJob작업 호출에 포함할 VpcConfig파라미터의 예입니다.

VpcConfig: {"Subnets": [
          "subnet-0123456789abcdef0",
          "subnet-0123456789abcdef1",
          "subnet-0123456789abcdef2"
          ],
      "SecurityGroupIds": [
          "sg-0123456789abcdef0"
          ]
        }

SageMaker AI 컴파일VPC을 위한 프라이빗 구성

SageMaker AI 컴파일 작업을 VPC 위해 프라이빗을 구성할 때는 다음 지침을 사용합니다. 설정 방법에 대한 자세한 내용은 Amazon VPC 사용 설명서의 및 서브넷 작업을 VPC참조하세요. VPCs

서브넷에 충분한 IP 주소를 확보해야 합니다

VPC 서브넷에는 컴파일 작업의 각 인스턴스에 대해 최소 2개의 프라이빗 IP 주소가 있어야 합니다. 자세한 내용은 Amazon VPC 사용 설명서의 VPC 및 서브넷 크기 조정IPv4을 참조하세요.

Amazon S3 VPC 엔드포인트 생성

인터넷에 대한 액세스를 차단VPC하도록를 구성하는 경우 액세스를 허용하는 VPC 엔드포인트를 생성하지 않으면 모델이 포함된 Amazon S3 버킷에 SageMaker Neo를 연결할 수 없습니다. VPC 엔드포인트를 생성하면 SageMaker Neo 컴파일 작업이 데이터 및 모델 아티팩트를 저장하는 버킷에 액세스할 수 있습니다. 또한 프라이빗의 요청만 S3 버킷VPC에 액세스할 수 있도록 허용하는 사용자 지정 정책을 생성하는 것이 좋습니다. 자세한 내용은 Amazon S3용 엔드포인트를 참조하세요.

S3 VPC 엔드포인트를 생성하려면:

  1. 에서 Amazon VPC 콘솔을 엽니다https://console.aws.amazon.com/vpc/.

  2. 탐색 창에서 엔드포인트를 선택하고 엔드포인트 생성을 선택합니다.

  3. 서비스 이름에서 com.amazonaws.region.s3을 검색합니다. 여기서 region는가 VPC상주하는 리전의 이름입니다.

  4. 게이트웨이 유형을 선택합니다.

  5. 에서이 엔드포인트에 사용할 VPC를 VPC선택합니다.

  6. 라우팅 테이블 구성에서 엔드포인트에서 사용할 라우팅 테이블을 선택합니다. VPC 서비스는 선택한 각 라우팅 테이블에 S3 트래픽을 새 엔드포인트로 가리키는 경로를 자동으로 추가합니다.

  7. 정책에서 전체 액세스를 선택하여 내의 사용자 또는 서비스에서 S3 서비스에 대한 전체 액세스를 허용합니다VPC. 액세스 권한을 추가로 제한하려면 사용자 지정을 선택합니다. 자세한 내용은 사용자 지정 엔드포인트 정책을 사용하여 S3에 대한 액세스 제한을 참조하세요.

사용자 지정 엔드포인트 정책을 사용하여 S3에 대한 액세스 제한

기본 엔드포인트 정책은의 모든 사용자 또는 서비스에 대해 S3에 대한 전체 액세스를 허용합니다VPC. S3에 대한 액세스를 추가로 제한하려면 사용자 지정 엔드포인트 정책을 생성합니다. 자세한 내용은 의 Amazon S3용 엔드포인트 정책 사용을 참조하세요. 버킷 정책을 사용하여 S3 버킷에 대한 액세스를 Amazon에서 들어오는 트래픽으로만 제한할 수도 있습니다VPC. 자세한 내용은 Amazon S3 버킷 정책 사용을 참조하세요. 다음은 샘플 사용자 지정 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::your-sample-bucket",
                "arn:aws:s3:::your-sample-bucket/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:SourceVpce": [
                        "vpce-01234567890123456"
                    ]
                }
            }
        }
    ]
}

Amazon에서 실행되는 컴파일 작업에 대한 권한을 VPC 사용자 지정 IAM 정책에 추가

SageMakerFullAccess 관리형 정책에는 엔드포인트를 사용한 Amazon VPC 액세스용으로 구성된 모델을 사용하는 데 필요한 권한이 포함되어 있습니다. 이러한 권한을 통해 SageMaker Neo는 탄력적 네트워크 인터페이스를 생성하고 Amazon에서 실행되는 컴파일 작업에 연결할 수 있습니다VPC. 자체 IAM 정책을 사용하는 경우 Amazon VPC 액세스를 위해 구성된 모델을 사용하려면 해당 정책에 다음 권한을 추가해야 합니다.

{"Version": "2012-10-17",
    "Statement": [
        {"Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:DeleteNetworkInterface",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:CreateNetworkInterface",
                "ec2:ModifyNetworkInterfaceAttribute"
            ],
            "Resource": "*"
        }
    ]
}

SageMakerFullAccess 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책: AmazonSageMakerFullAccess을 참조하세요.

라우팅 테이블 구성

표준 Amazon S3URLs(예: http://s3-aws-region.amazonaws.com/amzn-s3-demo-bucket)가 확인되도록 엔드포인트 라우팅 테이블의 기본 DNS 설정을 사용합니다. 기본 DNS 설정을 사용하지 않는 경우 컴파일 작업에서 데이터의 위치를 지정하는 데 사용하는 URLs가 엔드포인트 라우팅 테이블을 구성하여 해석되는지 확인합니다. VPC 엔드포인트 라우팅 테이블에 대한 자세한 내용은 Amazon VPC 사용 설명서의 게이트웨이 엔드포인트 라우팅을 참조하세요.

VPC 보안 그룹 구성

컴파일 작업의 보안 그룹에서 Amazon S3 Amazon VPC 엔드포인트에 대한 아웃바운드 통신과 컴파일 작업에 사용되는 서브넷 CIDR 범위를 허용해야 합니다. 자세한 내용은 보안 그룹 규칙 및 Amazon VPC 엔드포인트가 있는 서비스에 대한 액세스 제어를 참조하세요.