使用 加密 SageMaker Canvas 資料 AWS KMS

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Amazon SageMaker Canvas 時，您可能會擁有想要加密的資料，例如您的私人公司資訊或客戶資料。SageMaker Canvas AWS Key Management Service 用來保護您的資料。 AWS KMS 是一項服務，可用來建立和管理加密資料的密碼編譯金鑰。如需詳細資訊 AWS KMS，請參閱《 AWS KMS 開發人員指南AWS Key Management Service》中的 。

Amazon SageMaker Canvas 為您提供數個加密資料的選項。SageMaker Canvas 會在應用程式內為建立模型和產生深入解析等工作提供預設加密。您也可以選擇加密 Amazon S3 中存放的資料，以保護靜態資料。SageMaker Canvas 支援匯入加密的資料集，因此您可以建立加密的工作流程。下列各節說明如何使用 AWS KMS 加密來保護資料，同時使用 SageMaker Canvas 建置模型。

在 Canvas 中加密您的資料

透過 SageMaker Canvas，您可以使用兩個不同的 AWS KMS 加密金鑰來加密 SageMaker Canvas 中的資料，您可以在使用標準網域設定設定網域時指定此金鑰。這些金鑰會在下列網域設定步驟中指定：

上述金鑰可以是相同或不同的 KMS 金鑰。

先決條件

若要將自己的 KMS 金鑰用於上述任一目的，您必須先授予使用者的 IAM 角色許可才能使用金鑰。然後，您可以在設定網域時指定 KMS 金鑰。

授予角色使用金鑰的最簡單方法是修改金鑰政策。使用以下處理程序為您的角色授予必要的許可。

較不偏好的方法是修改使用者的 IAM 角色，以授予使用者使用或管理 KMS 金鑰的許可。如果您使用此方法，KMS 金鑰政策也必須允許透過 IAM 進行存取管理。若要了解如何透過使用者的 IAM 角色授予 KMS 金鑰的許可，請參閱 AWS KMS 開發人員指南中的 IAM 政策陳述式中指定 KMS 金鑰。

在 Canvas 應用程式中 SageMaker 密您的資料

您可以在 SageMaker Canvas 中使用的第一個 KMS 金鑰，用於加密存放在 Amazon Elastic Block Store (Amazon EBS) 磁碟區和 SageMaker AI 在您的網域中建立的 Amazon Elastic File System 中的應用程式資料。SageMaker Canvas 在使用計算執行個體建立模型和產生深入解析時所建立的基礎應用程式和臨時儲存系統中，使用此金鑰加密您的資料。每當 SageMaker Canvas 啟動任務以處理您的資料時，SageMaker Canvas 都會將金鑰傳遞給其他 AWS 服務，例如 Autopilot。

您可以在 CreateDomain API 呼叫KmsKeyID中設定 或在主控台中執行標準網域設定時指定此金鑰。如果您未指定自己的 KMS 金鑰，SageMaker AI 會使用預設 AWS 的受管 KMS 金鑰來加密 SageMaker Canvas 應用程式中的資料。

若要透過主控台指定自己的 KMS 金鑰，以便在 SageMaker Canvas 應用程式中使用，請先使用標準設定來設定 Amazon SageMaker AI 網域。使用下列程序來完成網域的網路和儲存區段。

加密儲存在 Amazon S3 中的 SageMaker Canvas 資料

您可以指定的第二個 KMS 金鑰會用於 SageMaker Canvas 存放到 Amazon S3 的資料。此 KMS 金鑰是在 CreateDomain API 呼叫的 S3KMSKeyId 欄位中指定，或在 SageMaker AI 主控台中執行標準網域設定時指定。SageMaker Canvas 會將您輸入資料集、應用程式和模型資料的複本，以及輸出資料儲存至您帳戶的區域預設 SageMaker AI S3 儲存貯體。此儲存貯體的命名模式為 s3://sagemaker-{Region}-{your-account-id}，而 SageMaker Canvas 會將資料儲存在 Canvas/ 資料夾中。

從 Amazon S3 匯入加密資料集

您的使用者可能擁有已使用 KMS 金鑰加密的資料集。雖然上一節說明如何加密 SageMaker Canvas 中的資料和存放到 Amazon S3 的資料，但如果您要從已加密的 Amazon S3 匯入資料，則必須授予使用者的 IAM 角色額外許可 AWS KMS。

若要授予使用者從 Amazon S3 將加密資料集匯入 SageMaker Canvas 的許可，請將下列許可新增至您用於使用者設定檔的 IAM 執行角色。

      "kms:Decrypt",
      "kms:GenerateDataKey"
   

如需有關如何編輯管理許可的相關資訊，請參閱 IAM 使用者指南中的新增和移除 IAM 身分許可。如需 KMS 金鑰的詳細資訊，請參閱 AWS KMS 開發人員指南中的 AWS Key Management Service的金鑰政策。

常見問答集

如需有關 SageMaker Canvas AWS KMS 支援的常見問題解答，請參閱下列常見問題集項目。