Segurança com um endpoint de vários contêineres com invocação direta

Para endpoints de vários contêineres com invocação direta, há vários contêineres hospedados em uma única instância por meio do compartilhamento de memória e um volume de armazenamento. É sua responsabilidade usar contêineres seguros, manter o mapeamento correto das solicitações para os contêineres de destino e fornecer aos usuários o acesso correto aos contêineres de destino. O SageMaker usa funções do IAM para fornecer políticas baseadas em identidade do IAM que você usa para especificar se o acesso a um recurso é permitido ou negado a essa função e sob quais condições. Para obter informações sobre funções do IAM, consulte Perfis do IAM no AWS Identity and Access ManagementManual do usuário. Para obter informações sobre as políticas baseadas em identidade, consulte Políticas baseadas em identidade e políticas baseadas em recursos.

Por padrão, um principal do IAM com permissões InvokeEndpoint em um endpoint de vários contêineres com invocação direta pode invocar qualquer contêiner dentro do endpoint com o nome do endpoint que você especifica ao chamar invoke_endpoint. Se você precisar restringir o acesso invoke_endpoint a um conjunto limitado de contêineres dentro de um endpoint de vários contêineres, use a chave de condição do IAM sagemaker:TargetContainerHostname. As políticas a seguir mostram como limitar as chamadas para contêineres específicos em um endpoint.