將 中的 Studio 筆記本VPC連線至外部資源 - Amazon SageMaker
與網際網路的預設通訊與網際網路的 VPC only 通訊

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

將 中的 Studio 筆記本VPC連線至外部資源

下列主題提供如何在 中VPC將 Studio Notebook 連線至外部資源的相關資訊。

與網際網路的預設通訊

根據預設， SageMaker Studio 提供允許透過 VPC管理的 與網際網路通訊的網路介面 SageMaker。Amazon S3 和 等服務流量 AWS CloudWatch會經過網際網路閘道。存取 SageMaker API和 SageMaker 執行期的流量也會經過網際網路閘道。網域與 Amazon EFS磁碟區之間的流量會經過您在加入 Studio 或呼叫 CreateDomain 時VPC識別的 API。下圖顯示此預設組態。

SageMaker 描述直接網際網路存取使用情況的 Studio VPC圖表。

與網際網路的 VPC only 通訊

若要 SageMaker 停止提供 Studio 筆記本的網際網路存取，請指定VPC only網路存取類型來停用網際網路存取。當您加入 Studio 或呼叫 CreateDomain 時，請指定此網路存取類型API。因此，您將無法執行 Studio 筆記本，除非：

  • 您的 VPC 具有 和 執行期的 SageMaker API介面端點，或具有網際網路存取權的NAT閘道

  • 您的安全群組允許傳出連線

下圖顯示使用 VPC-only 模式的組態。

SageMaker Studio VPC圖表描述 VPC僅 模式的使用。

使用 VPC only 模式的要求

當您選擇時 VpcOnly，請依照下列步驟執行：

  1. 您必須僅使用私有子網路。您無法在 VpcOnly 模式中使用公用子網路。

  2. 確保您的子網路具有所需數量的 IP 地址。每位使用者預期所需的 IP 地址數可能會因使用案例而有所不同。我們建議每位使用者介於 2 至 4 個 IP 地址之間。Studio 網域的總 IP 地址容量是建立網域時所提供之每個子網路的可用 IP 地址總和。請確定您的 IP 地址用量不超過您提供的子網路數量支援的容量。此外，使用分佈在許多可用區域的子網路有助於 IP 地址可用性。如需詳細資訊，請參閱 VPC 和 子網路大小IPv4調整。

    注意

    您只能設定執行個體在共用硬體VPC上執行的預設租用子網路。如需 租用屬性的詳細資訊VPCs，請參閱專用執行個體 。

  3. 警告

    使用 VpcOnly 模式時，您部分擁有網域的網路組態。我們建議您採用安全性最佳作法，將最低權限許可套用至安全群組規則所提供的輸入和輸出存取。過度寬鬆的傳入規則組態可能會允許存取 的使用者與其他使用者設定檔的應用程式VPC互動，而無需身分驗證。

    使用允許下列流量的輸入和輸出規則，來設定一或多個安全群組：

    為每個使用者設定檔建立不同的安全性組，並從同一個安全群組新增輸入存取權。我們不建議針對使用者設定檔重複使用網域層級安全群組。如果網域層級安全群組允許傳入存取其本身，則網域中的所有應用程式都可以存取網域中的所有其他應用程式。

  4. 如果您想要允許網際網路存取，則必須使用具有網際網路存取權的NAT閘道，例如透過網際網路閘道 。

  5. 若要移除網際網路存取，請建立介面VPC端點 （AWS PrivateLink），以允許 Studio 使用對應的服務名稱存取下列服務。您還必須將 的安全群組VPC與這些端點建立關聯。

    • SageMaker API : com.amazonaws.region.sagemaker.api

    • SageMaker 執行時間：com.amazonaws.region.sagemaker.runtime。這是執行 Studio 筆記本以及訓練和託管模型的必要條件。

    • Amazon S3：com.amazonaws.region.s3。

    • 若要使用 SageMaker 專案：com.amazonaws.region.servicecatalog。

    • 您需要的任何其他 AWS 服務。

    如果您使用 SageMaker Python SDK 執行遠端訓練任務，也必須建立下列 Amazon VPC端點。

    • AWS Security Token Service: com.amazonaws.region.sts

    • Amazon CloudWatch：com.amazonaws.region.logs。 這是允許 SageMaker Python 從 SDK取得遠端訓練任務狀態的必要條件 Amazon CloudWatch。

注意

對於在 VPC 模式下工作的客戶，公司防火牆可能會導致與 SageMaker Studio 或 JupyterServer 和 之間的連線問題 KernelGateway。如果您從防火牆後方使用 SageMaker Studio 時遇到其中一個問題，請執行下列檢查。

  • 檢查 Studio URL 是否在您的網路允許清單中。

  • 檢查 websocket 連線是否被封鎖。Jupyter 在幕後使用 websocket。如果 KernelGateway 應用程式為 InService， JupyterServer 則可能無法連線至 KernelGateway。打開系統終端機時也應該會看到此問題。

如需詳細資訊