As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Considerações de segurança para pontos de verificação hierárquicos gerenciados
Esta seção aborda importantes considerações de segurança ao usar pontos de verificação hierárquicos gerenciados. Ela aborda o uso do pickle do Python, a criptografia do Amazon S3 e a segurança de endpoints de rede.
Uso de pickle do Python
O checkpoint hierárquico gerenciado usa o módulo pickle do Python para desserializar os dados do ponto de verificação armazenados no Amazon S3. Essa implementação tem implicações de segurança importantes:
-
Limite de confiança estendido: ao usar pontos de verificação hierárquicos gerenciados com o Amazon S3, o bucket do Amazon S3 se torna parte do limite de confiança do seu cluster.
-
Risco de execução de código: o módulo pickle do Python pode executar código arbitrário durante a desserialização. Se um usuário não autorizado obtiver acesso por gravação ao seu bucket Amazon S3 de checkpoint, ele poderá criar dados maliciosos de pickle que são executados quando carregados por pontos de verificação hierárquicos gerenciados.
Práticas recomendadas para armazenamento no Amazon S3
Ao usar o checkpoint hierárquico gerenciado com o armazenamento Amazon S3:
-
Restrinja o acesso ao bucket do Amazon S3: garanta que somente usuários autorizados e perfis associados ao seu cluster de treinamento tenham acesso ao bucket do Amazon S3 usado para pontos de verificação.
-
Implemente políticas de bucket: configure políticas de bucket apropriadas para evitar acessos ou modificações não autorizados.
-
Valide os padrões de acesso: implemente o registro em log para validar os padrões de acesso aos buckets do Amazon S3 do seu ponto de verificação.
-
Valide os nomes de bucket: tenha cuidado ao selecionar o nome dos buckets para evitar possíveis sequestros de bucket.
Endpoints de rede
O ponto de verificação hierárquico gerenciado ativa endpoints de rede em cada um dos seus nós de computação nas seguintes portas: 9200/TCP,, 9209/UDP, 9210/UDP,, 9219/UDP 9220/UDP, 9229/UDP. 9230/UDP 9239/UDP 9240/UDP Essas portas são necessárias para que o serviço de ponto de verificação funcione e mantenha a sincronização de dados.
Por padrão, SageMaker a configuração de rede restringe o acesso a esses endpoints para fins de segurança. Recomendamos que você mantenha essas restrições padrão.
Ao definir suas configurações de rede para seus nós e VPC, siga as AWS melhores práticas para VPCs, grupos de segurança e ACLs. Para saber mais, consulte:
