本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
設定 Studio 和資料來源之間的網路存取 （適用於管理員）
本節提供管理員如何設定網路以啟用 Amazon SageMaker Studio 與 Amazon Redshift
根據預設，Studio VPC會在具有網際網路存取 的 AWS 受管 中執行。使用網際網路連線時，Studio 會透過網際網路存取 AWS 資源，例如 Amazon S3 儲存貯體。不過，如果您有安全需求來控制對資料和任務容器的存取，建議您設定 Studio 和資料存放區 （Amazon Redshift 或 Athena），以便無法透過網際網路存取您的資料和容器。若要控制資源的存取，或在沒有公有網際網路存取的情況下執行 Studio，您可以在加入 Amazon SageMaker 網域 時指定VPC only網路存取類型。在此案例中，Studio 會透過私有VPC端點 與其他 AWS 服務建立連線。如需在 VPC only 模式下設定 Studio 的相關資訊，請參閱將 Studio 連線至 中的外部資源VPC。
注意
若要連線至 Snowflake，Studio 網域VPC的 必須具有網際網路存取權。
前兩個章節說明如何確保 Studio 網域與 中的資料存放區之間的通訊VPCs，而無需公有網際網路存取。最後一節說明如何確保 Studio 與資料存放區之間使用網際網路連線進行通訊。在沒有網際網路存取的情況下連接 Studio 和資料存放區之前，請務必為 Amazon Simple Storage Service、Amazon Redshift 或 Athena SageMaker以及 Amazon CloudWatch 和 AWS CloudTrail （記錄和監控） 建立端點。
-
如果 Studio 和資料存放區位於不同的 中VPCs，無論是在同一 AWS 帳戶或個別帳戶中，請參閱 Studio 和資料存放區分別部署 VPCs。
-
如果 Studio 和資料存放區位於相同的 中VPC，請參閱 Studio 和資料存放區部署在相同的 VPC。
-
如果您選擇透過公有網際網路連接 Studio 和資料存放區，請參閱 Studio 和資料存放區透過公有網際網路進行通訊。
Studio 和資料存放區分別部署 VPCs
若要允許 Studio 與部署在不同 的資料存放區之間的通訊VPCs：
-
首先VPCs透過VPC對等連線來連接您的 。
-
更新每個 中的路由表VPC，以允許 Studio 子網路與資料存放區子網路之間的雙向網路流量。
-
設定您的安全群組以允許傳入和傳出流量。
無論 Studio 和資料存放區部署在單一 AWS 帳戶或跨不同 AWS 帳戶，組態步驟都相同。
-
VPC 對等
建立VPC對等連線，以促進兩者之間的聯網 VPCs（Studio 和資料存放區）。
-
從 Studio 帳戶，在VPC儀表板上選擇對等連線 ，然後選擇建立對等連線 。
-
建立您的請求，讓 Studio VPC與資料存放區 對等VPC。在另一個 AWS 帳戶中請求對等時，請在選取另一個帳戶以與 對等。 VPC
對於跨帳戶對等，管理員必須接受來自SQL引擎帳戶的請求。
對私有子網路進行對等時，您應該在對VPC等連線層級啟用私有 IP DNS解析。
-
-
路由表
設定路由以允許 Studio 和資料存放區VPC子網路之間的雙向網路流量。
建立對等連線後，管理員 （在每個帳戶上進行跨帳戶存取） 可以將路由新增至私有子網路路由表，以在 Studio 和資料存放VPCs區 的子網路之間路由流量。您可以前往VPC儀表板VPC中每個 的路由表區段來定義這些路由。
-
安全群組
最後，Studio 網域的安全群組VPC必須允許傳出流量，而資料存放區的安全群組VPC必須允許來自 Studio VPC安全群組的資料存放區連接埠上的傳入流量。
Studio 和資料存放區部署在相同的 VPC
如果 Studio 和資料存放區位於相同 的不同私有子網路中VPC，請在每個私有子網路的路由表中新增路由。路由應允許流量在 Studio 子網路和資料存放區子網路之間流動。您可以前往VPC儀表板VPC中每個 的路由表區段來定義這些路由。如果您將 Studio 和資料存放區部署在相同VPC子網路中，則不需要路由流量。
無論任何路由表更新為何，Studio 網域的安全群組VPC都必須允許傳出流量，而資料存放區的安全群組VPC必須允許來自 Studio VPC安全群組的連接埠傳入流量。
Studio 和資料存放區透過公有網際網路進行通訊
根據預設，Studio 提供網路介面，允許透過與 Studio 網域VPC相關聯的 中的網際網路閘道與網際網路通訊。如果您選擇透過公有網際網路連線至資料存放區，則資料存放區需要接受連接埠上的傳入流量。
必須使用NAT閘道來允許多個私有子網路中的執行個體VPCs在存取網際網路時共用網際網路閘道提供的單一公有 IP 地址。
注意
為傳入流量開啟的每個連接埠都代表潛在的安全風險。請詳閱自訂安全群組，以確保您將漏洞數量降至最低。
