本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 加密 SageMaker 您的 Canvas 資料 AWS KMS

您可能會在使用 Amazon SageMaker Canvas 時想要加密的資料，例如您的私有公司資訊或客戶資料。 SageMaker Canvas AWS Key Management Service 用於保護資料。 AWS KMS 是一項可用來建立和管理加密資料的密碼編譯金鑰的服務。如需 的詳細資訊 AWS KMS，請參閱 開發人員指南 AWS Key Management Service 中的 。 AWS KMS

Amazon SageMaker Canvas 為您提供多種加密資料的選項。 SageMaker Canvas 會在應用程式中為建立模型和產生洞見等任務提供預設加密。您也可以選擇加密 Amazon S3 中存放的資料，以保護靜態資料。 SageMaker Canvas 支援匯入加密的資料集，因此您可以建立加密的工作流程。下列各節說明如何使用 AWS KMS 加密來保護資料，同時使用 SageMaker Canvas 建置模型。

在 SageMaker Canvas 中加密您的資料

透過 SageMaker Canvas，您可以使用兩個不同的 AWS KMS 加密金鑰來加密 SageMaker Canvas 中的資料，您可以在使用標準網域設定設定網域時指定此金鑰。這些金鑰會在下列網域設定步驟中指定：

上述金鑰可以是相同或不同的KMS金鑰。

必要條件

若要將自己的KMS金鑰用於上述任一用途，您必須先授予使用者IAM的角色許可，才能使用金鑰。然後，您可以在設定網域時指定 KMS 金鑰。

授予角色使用金鑰的最簡單方法是修改金鑰政策。使用以下處理程序為您的角色授予必要的許可。

較不偏好的方法是修改使用者IAM的角色，以授予使用者使用或管理KMS金鑰的許可。如果您使用此方法，KMS金鑰政策也必須允許透過 進行存取管理IAM。若要了解如何透過使用者IAM的角色授予KMS金鑰的許可，請參閱 AWS KMS 開發人員指南 中的在IAM政策陳述式中指定KMS金鑰。

時間序列預測的先決條件

若要使用 AWS KMS 金鑰來加密 SageMaker Canvas 中的時間序列預測模型，您必須修改用於將物件儲存至 Amazon S3 的金鑰KMS的金鑰政策。您的金鑰政策必須授予 許可AmazonSageMakerCanvasForecastRole，該許可會在您授予使用者 的時間序列預測許可時 SageMaker 建立。Amazon Forecast 使用 AmazonSageMakerCanvasForecastRole來執行 SageMaker Canvas 中的時間序列預測操作。您的KMS金鑰必須授予此角色的許可，以確保資料已加密，以進行時間序列預測。

若要修改KMS金鑰政策的許可以允許加密的時間序列預測，請執行下列動作。

您現在可以使用 KMS 金鑰來加密 SageMaker Canvas 中的時間序列預測操作。

{
            "Sid": "Enable IAM Permissions for Amazon Forecast KMS access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "<arn:aws:iam::111122223333:role/AmazonSageMaker-111122223333>"
            },
            "Action": [
                    "kms:Decrypt", 
                    "kms:DescribeKey",
                    "kms:CreateGrant",
                    "kms:RetireGrant",
                    "kms:GenerateDataKey" 
                    "kms:GenerateDataKeyWithoutPlainText",
            ],
            "Resource": "*"
}

在 SageMaker Canvas 應用程式中加密您的資料

您可以在 SageMaker Canvas 中使用的第一個KMS金鑰，用於加密存放在 Amazon Elastic Block Store （Amazon EBS） 磁碟區和網域中 SageMaker 建立的 Amazon Elastic File System 中的應用程式資料。 SageMaker Canvas 會在基礎應用程式和臨時儲存系統中使用此金鑰加密資料，這些金鑰是在使用運算執行個體建立模型和產生洞察時建立的。 SageMaker Canvas 會在 SageMaker Canvas 啟動任務時，將金鑰傳遞給其他服務， AWS 例如 Autopilot。

您可以在CreateDomainAPI通話KmsKeyID中設定 或在主控台中執行標準網域設定時指定此金鑰。如果您未指定自己的KMS金鑰， SageMaker 會使用預設 AWS 的受管KMS金鑰來加密 SageMaker Canvas 應用程式中的資料。

若要透過主控台指定自己的KMS金鑰，以便在 SageMaker Canvas 應用程式中使用，請先使用標準設定 來設定您的 Amazon SageMaker 網域。使用下列程序來完成網域的網路和儲存區段。

加密儲存在 Amazon S3 中的 SageMaker Canvas 資料

您可以指定的第二個KMS金鑰用於 SageMaker Canvas 儲存至 Amazon S3 的資料。此KMS金鑰是在 CreateDomain API 通話中的 S3KMSKeyId 欄位，或在 SageMaker 主控台中執行標準網域設定時指定。 SageMaker Canvas 會將輸入資料集、應用程式和模型資料，以及輸出資料的複本儲存至您帳戶的區域預設 SageMaker S3 儲存貯體。此儲存貯體的命名模式為 s3://sagemaker-{Region}-{your-account-id}， SageMaker Canvas 會將資料存放在 Canvas/ 資料夾中。

從 Amazon S3 匯入加密資料集

您的使用者可能有已使用KMS金鑰加密的資料集。雖然上一節說明如何加密 SageMaker Canvas 中的資料和存放到 Amazon S3 的資料，但如果您要從已使用 加密的 Amazon S3 匯入資料，則必須授予使用者IAM角色的額外許可 AWS KMS。

若要授予使用者將加密資料集從 Amazon S3 匯入 SageMaker Canvas 的許可，請將下列許可新增至您用於使用者設定檔的IAM執行角色。

      "kms:Decrypt",
      "kms:GenerateDataKey"
   

若要了解如何編輯角色的IAM許可，請參閱 IAM 使用者指南 中的新增和移除IAM身分許可。如需KMS金鑰的詳細資訊，請參閱 AWS KMS 開發人員指南 中的 金鑰政策 AWS Key Management Service。

FAQs

如需 SageMaker Canvas FAQ AWS KMS 支援的常見問題解答，請參閱下列項目。