本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
SageMaker Studio 筆記本的存取控制和設定許可
Amazon SageMaker Studio 使用檔案系統和容器許可來控制 Studio 使用者和筆記本的存取控制和隔離。這是 Studio 筆記本和 SageMaker 筆記本執行個體之間的主要差異之一。本主題說明如何設定許可以避免安全威脅、SageMaker AI 預設會做什麼，以及客戶如何自訂許可。如需 Studio 筆記本及其在執行期環境的更多相關資訊，請參閱使用 Amazon SageMaker Studio Classic 筆記本。
SageMaker AI 應用程式許可
以使用者身分執行是 POSIX 使用者／群組，用於在容器內執行 JupyterServer 應用程式和 KernelGateway 應用程式。
預設情況下，JupyterServer 應用程式以使用者身分執行為 sagemaker-user (1000)。此使用者擁有 sudo 許可，可啟用相依性的安裝，例如 yum 套件。
KernelGateway 應用程式以使用者身分執行預設為 root (0)。該使用者可以使用 pip/apt-get/conda 來安裝相依性。
由於使用者重新對應，使用者無法存取資源或變更為主機執行個體。
使用者重新對應
SageMaker AI 會執行使用者重新映射，將容器內的使用者映射到容器外主機執行個體上的使用者。容器中的使用者 ID 範圍 (0 - 65535) 會對應至執行個體上 65535 以上的非特權使用者 ID。例如，容器內的 sagemaker-user (1000) 可能會對應至執行個體上的使用者 (200001)，其中括號中的數字是使用者 ID。如果客戶在容器內建立新使用者／群組，則無論使用者／群組 ID 為何，都不會在主機執行個體上獲得授權。容器的根使用者也會對應至執行個體上的非授權使用者。如需更多資訊，請參閱使用使用者命名空間隔離容器
注意
使用者 sagemaker-user 建立的檔案可能看起來像他們是由 SageMaker Studio (uid 65534) 擁有。這是快速應用程式建立模式的副作用，其中預先提取 SageMaker AI 容器映像，允許應用程式在一分鐘內啟動。如果您的應用程式要求檔案擁有者 uid 和程序擁有者 uid 相符，請要求客戶服務從圖像預提取功能中刪除您的帳戶號碼。
自訂影像許可
客戶可以自帶自訂的 SageMaker AI 映像。這些影像檔可以指定不同的使用者／群組執行身分，以啟動 KernelGateway 應用程式。客戶可以在影像內部實施精細的許可控制，例如停用根存取權或執行其他動作。此處適用相同的使用者重新對應。如需更多資訊，請參閱攜帶您自己的 SageMaker AI 映像。
容器隔離
Docker 會保留容器可使用的預設功能清單。SageMaker AI 不會新增其他功能。SageMaker AI 新增了特定的路由規則，以封鎖來自容器的 Amazon EFS 和執行個體中繼資料服務 (IMDS) 的請求。客戶無法從容器變更這些路由規則。如需更多資訊，請參閱執行期特殊權限 和 Linux 功能
應用程式中繼資料存取
執行中應用程式所使用的中繼資料會以唯讀許可掛載至容器。客戶無法從容器修改此中繼資料。有關可用中繼資料，請參閱取得 Studio Classic Notebook 和應用程式中繼資料。
EFS 上的使用者隔離
當您加入 Studio 時，SageMaker AI 會為您的網域建立 Amazon Elastic File System (EFS) 磁碟區，由網域中的所有 Studio 使用者共用。每個使用者都會在 EFS 磁碟區上取得自己的私有主目錄。這個主目錄用於儲存使用者的筆記本，Git 儲存庫和其他資料。為了防止網域中的其他使用者存取使用者的資料，SageMaker AI 會為使用者設定檔建立全域唯一使用者 ID，並將其套用為使用者主目錄的 POSIX 使用者/群組 ID。
EBS 存取
Amazon Elastic Block Store (Amazon EBS) 磁碟區連接到主機執行個體，並在所有影像之間共用。其用於筆記本的根磁碟區，並儲存在容器內部產生的暫時資料。刪除執行筆記本的執行個體時，儲存區不會持續運作。容器內部的根使用者無法存取 EBS 磁碟區。
IMDS 存取
基於安全考量，在 SageMaker Studio 中無法存取 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料服務 (IMDS)。如需 IMDS 的更多資訊，請參閱執行個體中繼資料和使用者資料。
