Verwenden der SageMaker AWS API zur Verwaltung einer VPC-Konfiguration

Verwenden Sie die folgenden Abschnitte, um mehr über die Verwaltung einer VPC-Konfiguration zu erfahren und gleichzeitig den richtigen Zugriff auf das Arbeitsteam zu gewährleisten.

Erstellen Sie eine Arbeitskraft mit einer VPC-Konfiguration

Wenn das Konto bereits Arbeitskraft hat, müssen Sie es zuerst löschen. Sie können die Arbeitskraft auch mit der VPC-Konfiguration aktualisieren.

aws sagemaker create-workforce --cognito-config '{"ClientId": "app-client-id","UserPool": "Pool_ID",}' --workforce-vpc-config \       
" {\"VpcId\": \"vpc-id\", \"SecurityGroupIds\": [\"sg-0123456789abcdef0\"], \"Subnets\": [\"subnet-0123456789abcdef0\"]}" --workforce-name workforce-name
{
    "WorkforceArn": "arn:aws:sagemaker:us-west-2:xxxxxxxxx:workforce/workforce-name"
}
            

Beschreiben Sie die Arbeitskraft und stellen Sie sicher, dass der Status Initializing lautet.

aws sagemaker describe-workforce --workforce-name workforce-name
{
    "Workforce": {
        "WorkforceName": "workforce-name",
        "WorkforceArn": "arn:aws:sagemaker:us-west-2:xxxxxxxxx:workforce/workforce-name",
        "LastUpdatedDate": 1622151252.451,
        "SourceIpConfig": {
            "Cidrs": []
        },
        "SubDomain": "subdomain.us-west-2.sagamaker.aws.com",
        "CognitoConfig": {
            "UserPool": "Pool_ID",
            "ClientId": "app-client-id"
        },
        "CreateDate": 1622151252.451,
        "WorkforceVpcConfig": {
            "VpcId": "vpc-id",
            "SecurityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "Subnets": [
                "subnet-0123456789abcdef0"
            ]
        },
        "Status": "Initializing"
    }
}
            

Navigieren Sie zur Amazon-VPC-Konsole. Wählen Sie im linken Bereich Endpunkte aus. In Ihrem Konto sollten zwei VPC-Endpunkte erstellt werden.

Hinzufügen einer VPC-Konfiguration für Ihre Arbeitskraft

Aktualisieren Sie private Mitarbeiter, die nicht zu VPC gehören, mithilfe des folgenden Befehls mit einer VPC-Konfiguration.

aws sagemaker update-workforce --workforce-name workforce-name\
--workforce-vpc-config "{\"VpcId\": \"vpc-id\", \"SecurityGroupIds\": [\"sg-0123456789abcdef0\"], \"Subnets\": [\"subnet-0123456789abcdef0\"]}"
            

Beschreiben Sie die Arbeitskraft und stellen Sie sicher, dass der Status Updating lautet.

aws sagemaker describe-workforce --workforce-name workforce-name
{
    "Workforce": {
        "WorkforceName": "workforce-name",
        "WorkforceArn": "arn:aws:sagemaker:us-west-2:xxxxxxxxx:workforce/workforce-name",
        "LastUpdatedDate": 1622151252.451,
        "SourceIpConfig": {
            "Cidrs": []
        },
        "SubDomain": "subdomain.us-west-2.sagamaker.aws.com",
        "CognitoConfig": {
            "UserPool": "Pool_ID",
            "ClientId": "app-client-id"
        },
        "CreateDate": 1622151252.451,
        "WorkforceVpcConfig": {
            "VpcId": "vpc-id",
            "SecurityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "Subnets": [
                "subnet-0123456789abcdef0"
            ]
        },
        "Status": "Updating"
    }
}                
            

Navigieren Sie zu Ihrer Amazon VPC-Konsole. Wählen Sie im linken Bereich Endpunkte aus. In Ihrem Konto sollten zwei VPC-Endpunkte erstellt werden.

Entfernen einer VPC-Konfiguration aus Ihrer Arbeitskraft

Aktualisieren Sie eine private VPC-Arbeitskraft mit einer leeren VPC-Konfiguration, um VPC-Ressourcen zu entfernen.

aws sagemaker update-workforce --workforce-name workforce-name\ 
--workforce-vpc-config "{}"                
            

Beschreiben Sie die Arbeitskraft und stellen Sie sicher, dass der Status Updating lautet.

aws sagemaker describe-workforce --workforce-name workforce-name
{
    "Workforce": {
        "WorkforceName": "workforce-name",
        "WorkforceArn": "arn:aws:sagemaker:us-west-2:xxxxxxxxx:workforce/workforce-name",
        "LastUpdatedDate": 1622151252.451,
        "SourceIpConfig": {
            "Cidrs": []
        },
        "SubDomain": "subdomain.us-west-2.sagamaker.aws.com",
        "CognitoConfig": {
            "UserPool": "Pool_ID",
            "ClientId": "app-client-id"
        },
        "CreateDate": 1622151252.451,
        "Status": "Updating"
    }
}                
            

Navigieren Sie zu Ihrer Amazon VPC-Konsole. Wählen Sie im linken Bereich Endpunkte aus. Die beiden VPC-Endpoints sollten gelöscht werden.

Beschränken Sie den öffentlichen Zugriff auf das Worker-Portal und behalten Sie gleichzeitig den Zugriff über eine VPC bei

Die Mitarbeiter in einem VPC- oder Nicht-VPC-Worker-Portal können die ihnen zugewiesenen Labeling-Job-Aufgaben sehen. Die Zuweisung erfolgt durch die Zuweisung von Mitarbeitern in einem Arbeitsteam über OIDC-Gruppen. Es liegt in der Verantwortung des Kunden, den Zugang zu seinem öffentlichen Worker-Portal zu beschränken, indem er sourceIpConfig in seiner Arbeitskraft einstellt.

Anmerkung

Sie können den Zugriff auf das Worker-Portal nur über die SageMaker API einschränken. Dies kann nicht über die Konsole erfolgen.

Verwenden Sie den folgenden Befehl, um den öffentlichen Zugriff auf das Worker-Portal einzuschränken.

aws sagemaker update-workforce --region us-west-2 \
--workforce-name workforce-demo --source-ip-config '{"Cidrs":["10.0.0.0/16"]}'                
            

Sobald das sourceIpConfig für die Arbeitskraft festgelegt ist, können die Mitarbeiter in VPC auf das Worker-Portal zugreifen, jedoch nicht über das öffentliche Internet.

Anmerkung

Sie können die sourceIP Einschränkung für das Worker-Portal in VPC nicht festlegen.