本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
SageMaker Studio 筆記本的存取控制和設定許可
Amazon SageMaker Studio 使用檔案系統和容器許可來控制和隔離 Studio 使用者和筆記本。這是 Studio 筆記本和 SageMaker 筆記本執行個體之間的主要差異之一。本主題說明如何設定許可以避免安全威脅、預設 SageMaker 如何處理，以及客戶如何自訂許可。如需 Studio 筆記本及其在執行期環境的更多相關資訊，請參閱使用 Amazon SageMaker Studio Classic Notebook。
SageMaker 應用程式許可
執行身分使用者是用來在容器 KernelGateway 內執行 JupyterServer 應用程式的使用者POSIX/群組。
JupyterServer 應用程式的執行身分使用者預設為 sagemaker-user （1000）。此使用者擁有 sudo 許可，可啟用相依性的安裝，例如 yum 套件。
依預設， KernelGateway 應用程式的執行身分使用者為根 （0）。該使用者可以使用 pip/apt-get/conda 來安裝相依性。
由於使用者重新對應，使用者無法存取資源或變更為主機執行個體。
使用者重新對應
SageMaker 會執行使用者重新映射，將容器內的使用者映射至容器外主機執行個體上的使用者。容器中的使用者 IDs（0 - 65535） 範圍會對應至執行個體上IDs超過 65535 的非特殊權限使用者。例如，容器內的 sagemaker-user (1000) 可能會對應至執行個體上的使用者 (200001)，其中括號中的數字是使用者 ID。如果客戶在容器內建立新使用者／群組，則無論使用者／群組 ID 為何，都不會在主機執行個體上獲得授權。容器的根使用者也會對應至執行個體上的非授權使用者。如需更多資訊，請參閱使用使用者命名空間隔離容器
注意
使用者 sagemaker-user 建立的檔案可能看起來像他們是由 SageMaker Studio (uid 65534) 擁有。這是快速應用程式建立模式的副作用，其中 SageMaker 容器映像會預先提取，允許應用程式在一分鐘內啟動。如果您的應用程式要求檔案擁有者 uid 和程序擁有者 uid 相符，請要求客戶服務從圖像預提取功能中刪除您的帳戶號碼。
自訂影像許可
客戶可以自帶自訂 SageMaker 映像。這些影像可以指定不同的執行身分作為使用者/群組來啟動 KernelGateway 應用程式。客戶可以在影像內部實施精細的許可控制，例如停用根存取權或執行其他動作。此處適用相同的使用者重新對應。如需更多資訊，請參閱攜帶您自己的 SageMaker 映像。
容器隔離
Docker 會保留容器可以使用的預設功能清單。 SageMaker 不會新增其他功能。 SageMaker 新增特定路由規則，以封鎖來自容器的 Amazon EFS和執行個體中繼資料服務 （IMDS） 請求。客戶無法從容器變更這些路由規則。如需更多資訊，請參閱執行期特殊權限 和 Linux 功能
應用程式中繼資料存取
執行中應用程式所使用的中繼資料會以唯讀許可掛載至容器。客戶無法從容器修改此中繼資料。有關可用中繼資料，請參閱取得 Studio Classic Notebook 和應用程式中繼資料。
上的使用者隔離 EFS
當您加入 Studio 時， 會為您的網域 SageMaker 建立 Amazon Elastic File System （EFS） 磁碟區，並由網域中的所有 Studio 使用者共用。每個使用者都會在EFS磁碟區上取得自己的私有主目錄。這個主目錄用於儲存使用者的筆記本，Git 儲存庫和其他資料。為了防止網域中的其他使用者存取使用者的資料， 會為使用者設定檔 SageMaker 建立全域唯一使用者 ID，並將其套用為使用者主目錄POSIX的使用者/群組 ID。
EBS 存取
Amazon Elastic Block Store （Amazon EBS） 磁碟區會連接至主機執行個體，並在所有映像之間共用。其用於筆記本的根磁碟區，並儲存在容器內部產生的暫時資料。刪除執行筆記本的執行個體時，儲存區不會持續運作。容器內的根使用者無法存取磁碟EBS區。
IMDS 存取
基於安全考量， SageMaker Studio 中無法存取 Amazon Elastic Compute Cloud （Amazon EC2） 執行個體中繼資料服務 （IMDS）。如需 的詳細資訊IMDS，請參閱執行個體中繼資料和使用者資料 。
