使用 記錄 Amazon SageMaker AI API 呼叫 AWS CloudTrail

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon SageMaker AI 已與 整合AWS CloudTrail，此服務可提供使用者、角色或 所採取動作的記錄 AWS 服務。CloudTrail 會將 Amazon SageMaker AI 的所有 API 呼叫擷取為事件。擷取的呼叫包括從 Amazon SageMaker AI 主控台的呼叫，以及對 Amazon SageMaker AI API 操作的程式碼呼叫。使用 CloudTrail 收集的資訊，您可以判斷對 Amazon SageMaker AI 提出的請求、提出請求的 IP 地址、提出時間，以及其他詳細資訊。

每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項：

當您建立帳戶 AWS 帳戶 時CloudTrail 會在 中處於作用中狀態，而且您會自動存取 CloudTrail 事件歷史記錄。CloudTrail 事件歷史記錄為 AWS 區域中過去 90 天記錄的管理事件，提供可檢視、可搜尋、可下載且不可變的記錄。如需詳細資訊，請參閱「AWS CloudTrail 使用者指南」中的使用 CloudTrail 事件歷史記錄。檢視事件歷史記錄不會產生 CloudTrail 費用。

如需 AWS 帳戶 過去 90 天內持續記錄的事件，請建立線索或 CloudTrail Lake 事件資料存放區。

為了安全起見，您可以監控 CloudTrail 日誌，以識別異常的使用者活動。如需監控日誌的詳細資訊，請參閱記錄和監控。

CloudTrail 中的 Amazon SageMaker AI 資料事件

資料事件提供在資源上或在資源中執行的資源操作的相關資訊 (例如，讀取或寫入 Amazon S3 物件)。這些也稱為資料平面操作。資料事件通常是大量資料的活動。根據預設，CloudTrail 不會記錄資料事件。CloudTrail 事件歷史記錄不會記錄資料事件。

資料事件需支付額外的費用。如需 CloudTrail 定價的詳細資訊，請參閱 AWS CloudTrail 定價。

您可以使用 CloudTrail 主控台、 AWS CLI或 CloudTrail API 操作，記錄各種 Amazon SageMaker AI 資源類型的資料事件。如需如何記錄資料事件的詳細資訊，請參閱《AWS CloudTrail 使用者指南》中的使用 AWS Management Console記錄資料事件和使用 AWS Command Line Interface記錄資料事件。

下表列出您可以記錄資料事件的 Amazon SageMaker AI 資源類型。資源類型 （主控台） 欄顯示從 CloudTrail 主控台上的資源類型清單中選擇的值。resources.type 值欄會顯示值，您會在使用 AWS CLI 或 CloudTrail APIs 設定進階事件選取器時指定該resources.type值。記錄到 CloudTrail 的資料 API 資料行會針對資源類型顯示記錄到 CloudTrail 的 API 呼叫。

您可以設定進階事件選取器來篩選 eventName、readOnly 和 resources.ARN 欄位，以僅記錄對您重要的事件。如需這些欄位的詳細資訊，請參閱AWS CloudTrail API 參考中的AdvancedFieldSelector。

下列範例示範如何記錄 Amazon SageMaker 端點的資料事件。在此範例中，您可以使用 put-event-selectors AWS CLI 命令來新增進階事件選擇器，以從端點擷取資料事件。您應該有現有的 CloudTrail 追蹤。在執行 命令之前，您也可以將進階事件選取器 JSON 物件儲存在如下所示的檔案中：

[
  {
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": ["Data"]
      },
      {
        "Field": "resources.ARN",
        "Equals": ["arn:aws:sagemaker:us-east-1:111122223333:endpoint/your-inference-endpoint-arn"]
      },
      {
        "Field": "resources.type",
        "Equals": ["AWS::SageMaker::Endpoint"]
      }
    ]
  }
]

然後，您可以執行下列命令，開始記錄來自端點的資料事件。

aws cloudtrail put-event-selectors
      --trail-name your-trail-name
      --advanced-event-selectors=file://advanced-event-selectors.json # specify your previously created JSON file

CloudTrail 中的 Amazon SageMaker AI 管理事件

管理事件提供在 資源上執行的管理操作的相關資訊 AWS 帳戶。這些也稱為控制平面操作。根據預設，CloudTrail 記錄管理事件。

Amazon SageMaker AI 會將所有 Amazon SageMaker AI 控制平面操作記錄為管理事件。如需 Amazon SageMaker AI 記錄到 CloudTrail 的 Amazon SageMaker AI 控制平面操作清單，請參閱 Amazon SageMaker AI API 參考。

自動模型調校執行的操作

SageMaker AI 支援將非 API 服務事件記錄到您的 CloudTrail 日誌檔案，以進行自動模型調校任務。這些事件與您的調校任務相關，但不是客戶向公有 AWS API 提出請求的直接結果。例如，當您透過呼叫 來建立超參數調校任務時CreateHyperParameterTuningJob，SageMaker AI 會建立訓練任務來評估超參數的各種組合，以找出最佳結果。同樣地，當您呼叫 StopHyperParameterTuningJob停止超參數調校任務時，SageMaker AI 可能會停止任何相關聯的執行中訓練任務。您調校任務的非 API 事件會記錄到 CloudTrail，以協助您改善 AWS 帳戶的管理、合規以及操作和風險稽核。

因非 API 服務事件而產生的日誌項目有 AwsServiceEvent 的 eventType，不是 AwsApiCall。

Amazon SageMaker AI 事件範例

一個事件代表任何來源提出的單一請求，並包含請求 API 操作的相關資訊、操作的日期和時間、請求參數等。CloudTrail 日誌檔案不是公有 API 呼叫的已排序堆疊追蹤，因此事件不會以任何特定順序顯示。

以下範例顯示的 CloudTrail 事件會示範 CreateEndpoint 操作。

{
    "eventVersion":"1.05",
    "userIdentity": {
        "type":"IAMUser",
        "principalId":"AIXDAYQEXAMPLEUMLYNGL",
        "arn":"arn:aws:iam::123456789012:user/intern",
        "accountId":"123456789012",
        "accessKeyId":"ASXIAGXEXAMPLEQULKNXV",
        "userName":"intern"
    },
    "eventTime":"2018-01-02T13:39:06Z",
    "eventSource":"sagemaker.amazonaws.com",
    "eventName":"CreateEndpoint",
    "awsRegion":"us-west-2",
    "sourceIPAddress":"127.0.0.1",
    "userAgent":"USER_AGENT",
    "requestParameters": {
        "endpointName":"ExampleEndpoint",
        "endpointConfigName":"ExampleEndpointConfig"
    },
    "responseElements": {
        "endpointArn":"arn:aws:sagemaker:us-west-2:123456789012:endpoint/exampleendpoint"
    },
    "requestID":"6b1b42b9-EXAMPLE",
    "eventID":"a6f85b21-EXAMPLE",
    "eventType":"AwsApiCall",
    "recipientAccountId":"444455556666"
}

以下範例顯示的 CloudTrail 事件會示範 CreateModel 操作。

{
    "eventVersion":"1.05",
    "userIdentity": {
        "type":"IAMUser",
        "principalId":"AIXDAYQEXAMPLEUMLYNGL",
        "arn":"arn:aws:iam::123456789012:user/intern",
        "accountId":"123456789012",
        "accessKeyId":"ASXIAGXEXAMPLEQULKNXV",
        "userName":"intern"
    },
    "eventTime":"2018-01-02T15:23:46Z",
    "eventSource":"sagemaker.amazonaws.com",
    "eventName":"CreateModel",
    "awsRegion":"us-west-2",
    "sourceIPAddress":"127.0.0.1",
    "userAgent":"USER_AGENT",
    "requestParameters": {
        "modelName":"ExampleModel",
        "primaryContainer": {
            "image":"174872318107.dkr.ecr.us-west-2.amazonaws.com/kmeans:latest"
        },
        "executionRoleArn":"arn:aws:iam::123456789012:role/EXAMPLEARN"
    },
    "responseElements": {
        "modelArn":"arn:aws:sagemaker:us-west-2:123456789012:model/barkinghappy2018-01-02t15-23-32-275z-ivrdog"
    },
    "requestID":"417b8dab-EXAMPLE",
    "eventID":"0f2b3e81-EXAMPLE",
    "eventType":"AwsApiCall",
    "recipientAccountId":"444455556666"
}

如需有關 CloudTrail 記錄內容的資訊，請參閱《AWS CloudTrail 使用者指南》中的 CloudTrail record contents。