Configuração de políticas de controle de serviços para programações de monitoramento

Você precisa especificar os parâmetros de um trabalho de monitoramento ao criar ou atualizar um agendamento para ele com o CreateMonitoringScheduleAPIou o UpdateMonitoringScheduleAPI, respectivamente. Dependendo do seu caso de uso, você pode fazer isso de uma das seguintes maneiras:

Os processos mencionados acima são mutuamente exclusivos, ou seja, você pode especificar o campo MonitoringJobDefinition ou o campo MonitoringJobDefinitionName ao criar ou atualizar as programações de monitoramento.

Ao criar uma definição de trabalho de monitoramento ou especificar uma no campo MonitoringJobDefinition, você pode definir parâmetros de segurança, como NetworkConfig e VolumeKmsKeyId. Como administrador, talvez você queira que esses parâmetros sejam sempre definidos com determinados valores, para que os trabalhos de monitoramento sempre sejam executados em um ambiente seguro. Para garantir isso, configure políticas de controle de serviço apropriadas (SCPs). SCPssão um tipo de política organizacional que você pode usar para gerenciar permissões em sua organização.

O exemplo a seguir mostra um SCP que você pode usar para garantir que os parâmetros de infraestrutura sejam definidos adequadamente ao criar ou atualizar agendas para tarefas de monitoramento.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateDataQualityJobDefinition",
                "sagemaker:CreateModelBiasJobDefinition",
                "sagemaker:CreateModelExplainabilityJobDefinition",
                "sagemaker:CreateModelQualityJobDefinition"
            ],
            "Resource": "arn:*:sagemaker:*:*:*",
            "Condition": {
                "Null": {
                    "sagemaker:VolumeKmsKey":"true",
                    "sagemaker:VpcSubnets": "true",
                    "sagemaker:VpcSecurityGroupIds": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateDataQualityJobDefinition",
                "sagemaker:CreateModelBiasJobDefinition",
                "sagemaker:CreateModelExplainabilityJobDefinition",
                "sagemaker:CreateModelQualityJobDefinition"
            ],
            "Resource": "arn:*:sagemaker:*:*:*",
            "Condition": {
                "Bool": {
                    "sagemaker:InterContainerTrafficEncryption": "false"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateMonitoringSchedule",
                "sagemaker:UpdateMonitoringSchedule",
            ],
            "Resource": "arn:*:sagemaker:*:*:monitoring-schedule/*",
            "Condition": {
                "Null": {
                    "sagemaker:ModelMonitorJobDefinitionName": "true"
                }
            }
        }
    ]
}
    

As duas primeiras regras do exemplo garantem que os parâmetros de segurança estejam sempre definidos para monitorar as definições de trabalho. A regra final exige que qualquer pessoa em sua organização que esteja criando ou atualizando uma programação sempre especifique o campo MonitoringJobDefinitionName. Isso garante que ninguém em sua organização possa definir valores inseguros para os parâmetros de segurança especificando o campo MonitoringJobDefinition ao criar ou atualizar programações.