Ofrezca a Amazon SageMaker Clarify Jobs acceso a los recursos de su Amazon VPC

Para controlar el acceso a sus datos y a las SageMaker tareas de Clarify, le recomendamos que cree una Amazon VPC privada y la configure de manera que no se pueda acceder a sus tareas a través de la Internet pública. Para obtener información sobre cómo crear y configurar una Amazon VPC para procesar trabajos, consulte Dar acceso a los trabajos de SageMaker procesamiento a los recursos de su Amazon VPC.

En este documento se explica cómo añadir configuraciones de Amazon VPC adicionales que cumplan los requisitos de los trabajos de SageMaker Clarify.

Configurar un trabajo de SageMaker Clarify para el acceso a Amazon VPC

Debe especificar las subredes y los grupos de seguridad al configurar su Amazon VPC privada SageMaker para los trabajos de Clarify y permitir que el trabajo obtenga inferencias del modelo al calcular las métricas de SageMaker sesgo posteriores al entrenamiento y las contribuciones de funciones que ayudan a explicar las predicciones del modelo.

Temas

• SageMaker Clarifique las subredes y grupos de seguridad de Amazon VPC de Job
• Configurar un modelo para el acceso a Amazon VPC

SageMaker Clarifique las subredes y grupos de seguridad de Amazon VPC de Job

Las subredes y los grupos de seguridad de su Amazon VPC privada se pueden asignar a SageMaker un trabajo de Clarify de varias formas, en función de cómo se cree el trabajo.

• SageMaker consola: proporcione esta información al crear el trabajo en el SageMaker panel de control. En el menú Procesamiento, seleccione Trabajos de procesamiento y, a continuación, elija Crear trabajo de procesamiento. Seleccione la opción VPC en el panel Red y proporcione las subredes y los grupos de seguridad mediante las listas desplegables. Asegúrese de que la opción de aislamiento de redes incluida en este panel esté desactivada.

• SageMaker API: utilice el parámetro de NetworkConfig.VpcConfig solicitud de la CreateProcessingJobAPI, como se muestra en el siguiente ejemplo:

  "NetworkConfig": {
      "VpcConfig": {
          "Subnets": [
              "subnet-0123456789abcdef0",
              "subnet-0123456789abcdef1",
              "subnet-0123456789abcdef2"
          ],
          "SecurityGroupIds": [
              "sg-0123456789abcdef0"
          ]
      }
  }

• SageMaker SDK de Python: utilice el NetworkConfig parámetro de la SageMakerClarifyProcessorAPI o ProcessorAPI, como se muestra en el siguiente ejemplo:

  from sagemaker.network import NetworkConfig
  network_config = NetworkConfig(
      subnets=[
          "subnet-0123456789abcdef0",
          "subnet-0123456789abcdef1",
          "subnet-0123456789abcdef2",
      ],
      security_group_ids=[
          "sg-0123456789abcdef0",
      ],
  )

SageMaker usa la información para crear interfaces de red y adjuntarlas al trabajo de SageMaker Clarify. Las interfaces de red proporcionan un trabajo SageMaker de Clarify con una conexión de red dentro de su Amazon VPC que no está conectada a la Internet pública. También permiten que el trabajo de SageMaker Clarify se conecte a los recursos de su Amazon VPC privada.

nota

La opción de aislamiento de red del trabajo SageMaker de Clarify debe estar desactivada (de forma predeterminada, la opción está desactivada) para que el trabajo de SageMaker Clarify pueda comunicarse con el punto final oculto.

Configurar un modelo para el acceso a Amazon VPC

Para calcular las métricas de sesgo y la explicabilidad posteriores al entrenamiento, el trabajo de SageMaker Clarify necesita obtener inferencias del SageMaker modelo especificado por el model_name parámetro de la configuración de análisis para el SageMaker trabajo de procesamiento de Clarify. Como alternativa, si utilizas la SageMakerClarifyProcessor API en el SDK de SageMaker Python, el trabajo debe obtener lo model_name especificado por la ModelConfigclase. Para ello, el trabajo SageMaker Clarify crea un punto final efímero con el modelo, conocido como punto final oculto, y luego aplica la configuración de Amazon VPC del modelo al punto final oculto.

Para especificar subredes y grupos de seguridad en su Amazon VPC privada para SageMaker el modelo, utilice VpcConfig el parámetro de solicitud de CreateModella API o proporcione esta información cuando cree el modelo mediante el panel de control de SageMaker la consola. A continuación se muestra un ejemplo del parámetro VpcConfig incluido en su llamada a CreateModel:

"VpcConfig": {
    "Subnets": [
        "subnet-0123456789abcdef0",
        "subnet-0123456789abcdef1",
        "subnet-0123456789abcdef2"
    ],
    "SecurityGroupIds": [
        "sg-0123456789abcdef0"
    ]
}

Puede especificar el número de instancias del punto final oculto que se van a lanzar con el initial_instance_count parámetro de la configuración de análisis para el trabajo de procesamiento de SageMaker Clarify. Como alternativa, si utilizas la SageMakerClarifyProcessor API en el SDK de SageMaker Python, el trabajo debe obtener lo instance_count especificado por la ModelConfigclase.

nota

Aunque solo solicites una instancia al crear el punto final oculto, necesitarás al menos dos subredes del modelo ModelConfigen distintas zonas de disponibilidad. De lo contrario, la creación de punto de conexión de sobra produce el siguiente error:

ClientError: Error al alojar el punto final sagemaker-clarify-endpoint -XXX: error. Motivo: no se pueden localizar al menos 2 zonas de disponibilidad con el tipo de instancia solicitado YYY que se superpongan con SageMaker las subredes.

Si su modelo requiere archivos de modelo en Amazon S3, entonces el modelo de Amazon VPC debe tener un punto de conexión de VPC de Amazon S3. Para obtener más información sobre la creación y configuración de una Amazon VPC para SageMaker modelos, consulte. Ofrezca a los endpoints SageMaker alojados acceso a los recursos de su Amazon VPC

Configure su Amazon VPC privada para SageMaker los trabajos de Clarify

En general, puede seguir los pasos de Configurar su VPC privada para su SageMaker procesamiento para configurar su Amazon VPC privada para los trabajos de Clarify. SageMaker Estos son algunos de los aspectos más destacados y los requisitos especiales de los trabajos de SageMaker Clarify.

Temas

• Conexión a recursos fuera de su Amazon VPC
• Configurar el grupo de seguridad de su Amazon VPC

Conexión a recursos fuera de su Amazon VPC

Si configura su Amazon VPC para que no tenga acceso público a Internet, necesitará alguna configuración adicional para que SageMaker Clarify Jobs pueda acceder a recursos y servicios externos a su Amazon VPC. Por ejemplo, se necesita un punto de enlace de VPC de Amazon S3 porque un trabajo SageMaker de Clarify necesita cargar un conjunto de datos desde un bucket de S3 y guardar los resultados del análisis en un bucket de S3. Para obtener más información, consulte Crear un punto de conexión de VPC de Amazon S3 para obtener las pautas de creación. Además, si un trabajo SageMaker de Clarify necesita obtener conclusiones del punto final oculto, tendrá que llamar a varios servicios más AWS .

• Cree un punto de enlace de VPC del servicio de SageMaker API de Amazon: el SageMaker trabajo de Clarify debe llamar al servicio de SageMaker API de Amazon para manipular el punto de enlace oculto o para describir un SageMaker modelo de validación de Amazon VPC. Puedes seguir las instrucciones que se proporcionan en el AWS PrivateLink blog Proteger todas las llamadas a las SageMaker API de Amazon con el fin de crear un punto de enlace de VPC de la SageMaker API de Amazon que permita al trabajo de SageMaker Clarify realizar las llamadas de servicio. Tenga en cuenta que el nombre del servicio SageMaker API de Amazon escom.amazonaws.region.sagemaker.api, mientras que region es el nombre de la región en la que reside su Amazon VPC.

• Cree un punto de enlace SageMaker de VPC de Amazon Runtime: el SageMaker trabajo de Clarify debe llamar al servicio Amazon SageMaker Runtime, que enruta las invocaciones al punto final oculto. Los pasos de configuración son similares a los del servicio Amazon SageMaker API. Tenga en cuenta que el nombre del servicio Amazon SageMaker Runtime escom.amazonaws.region.sagemaker.runtime, y region es el nombre de la región en la que reside su Amazon VPC.

Configurar el grupo de seguridad de su Amazon VPC

SageMaker Los trabajos de Clarify admiten el procesamiento distribuido cuando se especifican dos o más instancias de procesamiento de una de las siguientes maneras:

• SageMaker consola: el recuento de instancias se especifica en la parte de configuración de recursos del panel de configuración del trabajo de la página Crear trabajo de procesamiento.

• SageMaker API: InstanceCount se especifica al crear el trabajo con la CreateProcessingJobAPI.

• SageMaker SDK de Python: instance_count se especifica cuando se utiliza la SageMakerClarifyProcessorAPI o la API del procesador.

En el procesamiento distribuido, debe permitir la comunicación entre distintas instancias en el mismo trabajo de procesamiento. Para ello, configure una regla para el grupo de seguridad que permita conexiones entrantes entre miembros del mismo grupo de seguridad. Para obtener información, consulte Reglas del grupo de seguridad.