As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criptografe seus dados do SageMaker Canvas com AWS KMS

Você pode ter dados que deseja criptografar ao usar o Amazon SageMaker Canvas, como informações privadas da sua empresa ou dados de clientes. SageMaker O Canvas usa AWS Key Management Service para proteger seus dados. AWS KMS é um serviço que você pode usar para criar e gerenciar chaves criptográficas para criptografar seus dados. Para obter mais informações sobre AWS KMS, consulte AWS Key Management Serviceo Guia do AWS KMS desenvolvedor.

O Amazon SageMaker Canvas oferece várias opções para criptografar seus dados. SageMaker O Canvas fornece criptografia padrão dentro do aplicativo para tarefas como criar seu modelo e gerar insights. Você também pode optar por criptografar os dados armazenados no Amazon S3 para proteger seus dados em repouso. SageMaker O Canvas suporta a importação de conjuntos de dados criptografados, para que você possa estabelecer um fluxo de trabalho criptografado. As seções a seguir descrevem como você pode usar a AWS KMS criptografia para proteger seus dados ao criar modelos com o SageMaker Canvas.

Criptografe seus dados no Canvas SageMaker

Com o SageMaker Canvas, você pode usar duas chaves de AWS KMS criptografia diferentes para criptografar seus dados no SageMaker Canvas, que você pode especificar ao configurar seu domínio usando a configuração de domínio padrão. Essas chaves são especificadas nas seguintes etapas de configuração do domínio:

As teclas anteriores podem ser iguais ou diferentesKMS.

Pré-requisitos

Para usar sua própria KMS chave para qualquer uma das finalidades descritas anteriormente, você deve primeiro conceder permissão à IAM função de usuário para usar a chave. Em seguida, você pode especificar a KMS chave ao configurar seu domínio.

A maneira mais simples de conceder permissão à sua função para usar a chave é modificar a política de chave. Use o procedimento a seguir para conceder ao seu perfil as permissões necessárias.

O método menos preferido é modificar a IAM função do usuário para conceder ao usuário permissões para usar ou gerenciar a KMS chave. Se você usar esse método, a política de KMS chaves também deverá permitir o gerenciamento de acessoIAM. Para saber como conceder permissão a uma KMS chave por meio da IAM função do usuário, consulte Especificação de KMS chaves em declarações IAM de política no Guia do AWS KMS desenvolvedor.

Pré-requisitos para a previsão de séries temporais

Para usar sua AWS KMS chave para criptografar modelos de previsão de séries temporais no SageMaker Canvas, você deve modificar a política de chaves para a KMS chave usada para armazenar objetos no Amazon S3. Sua política de chaves deve conceder permissões aoAmazonSageMakerCanvasForecastRole, o que é SageMaker criado quando você concede permissões de previsão de séries temporais para seus usuários. O Amazon Forecast usa o AmazonSageMakerCanvasForecastRole para realizar operações de previsão de séries temporais no SageMaker Canvas. Sua KMS chave deve conceder permissões para essa função para garantir que os dados sejam criptografados para a previsão de séries temporais.

Para modificar as permissões da sua política de KMS chaves para permitir a previsão criptografada de séries temporais, faça o seguinte.

Agora você pode usar sua KMS chave para criptografar operações de previsão de séries temporais no SageMaker Canvas.

{
            "Sid": "Enable IAM Permissions for Amazon Forecast KMS access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "<arn:aws:iam::111122223333:role/AmazonSageMaker-111122223333>"
            },
            "Action": [
                    "kms:Decrypt", 
                    "kms:DescribeKey",
                    "kms:CreateGrant",
                    "kms:RetireGrant",
                    "kms:GenerateDataKey" 
                    "kms:GenerateDataKeyWithoutPlainText",
            ],
            "Resource": "*"
}

Criptografe seus dados no aplicativo SageMaker Canvas

A primeira KMS chave que você pode usar no SageMaker Canvas é usada para criptografar dados de aplicativos armazenados nos volumes do Amazon Elastic Block Store (AmazonEBS) e no Amazon Elastic File System que SageMaker cria em seu domínio. SageMaker O Canvas criptografa seus dados com essa chave no aplicativo subjacente e nos sistemas de armazenamento temporário criados ao usar instâncias de computação para criar modelos e gerar insights. SageMaker O Canvas passa a chave para outros AWS serviços, como o Autopilot, sempre que o SageMaker Canvas inicia trabalhos com eles para processar seus dados.

Você pode especificar essa chave definindo o KmsKeyID na CreateDomain API chamada ou ao fazer a configuração do domínio padrão no console. Se você não especificar sua própria KMS chave, SageMaker usa uma KMS chave AWS gerenciada padrão para criptografar seus dados no aplicativo SageMaker Canvas.

Para especificar sua própria KMS chave para uso no aplicativo SageMaker Canvas por meio do console, primeiro configure seu SageMaker domínio da Amazon usando a configuração padrão. Use o procedimento a seguir para concluir a seção Rede e Armazenamento do domínio.

Criptografe seus dados do SageMaker Canvas salvos no Amazon S3

A segunda KMS chave que você pode especificar é usada para dados que o SageMaker Canvas armazena no Amazon S3. Essa KMS chave é especificada no S3KMSKeyId campo da CreateDomain API chamada ou ao fazer a configuração de domínio padrão no SageMaker console. SageMaker O Canvas salva duplicatas de seus conjuntos de dados de entrada, dados de aplicativos e modelos e dados de saída no bucket SageMaker S3 padrão da região para sua conta. O padrão de nomenclatura para esse bucket és3://sagemaker-{Region}-{your-account-id}, e o SageMaker Canvas armazena dados na Canvas/ pasta.

Importar conjuntos de dados criptografados do Amazon S3

Seus usuários podem ter conjuntos de dados criptografados com uma KMS chave. Embora a seção anterior mostre como criptografar dados no SageMaker Canvas e dados armazenados no Amazon S3, você deve conceder permissões adicionais à sua função de usuário se quiser importar dados IAM do Amazon S3 que já estejam criptografados com. AWS KMS

Para conceder permissões de usuário para importar conjuntos de dados criptografados do Amazon S3 SageMaker para o Canvas, adicione as seguintes permissões à IAM função de execução que você usou para o perfil de usuário.

      "kms:Decrypt",
      "kms:GenerateDataKey"
   

Para saber como editar as IAM permissões de uma função, consulte Adicionar e remover permissões de IAM identidade no Guia do IAM usuário. Para obter mais informações sobre KMS chaves, consulte Políticas de chaves AWS Key Management Service no Guia do AWS KMS desenvolvedor.

FAQs

Consulte os FAQ itens a seguir para obter respostas às perguntas mais frequentes sobre o AWS KMS suporte do SageMaker Canvas.