Connect Amazon SageMaker Studio de una VPC a recursos externos - Amazon SageMaker
Comunicación predeterminada con InternetComunicación VPC only con Internet

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Connect Amazon SageMaker Studio de una VPC a recursos externos

importante

A partir del 30 de noviembre de 2023, la experiencia anterior de Amazon SageMaker Studio pasa a denominarse Amazon SageMaker Studio Classic. La siguiente sección trata específicamente sobre el uso de la experiencia de Studio actualizada. Para obtener información sobre el uso de la aplicación Studio Classic, consulteAmazon SageMaker Studio Clásico.

En el siguiente tema se proporciona información sobre cómo conectar Amazon SageMaker Studio en una VPC a recursos externos.

Comunicación predeterminada con Internet

De forma predeterminada, Amazon SageMaker Studio proporciona una interfaz de red que permite la comunicación con Internet a través de una VPC gestionada por. SageMaker El tráfico a AWS servicios como Amazon S3 CloudWatch pasa por una puerta de enlace a Internet, al igual que el tráfico que accede a la SageMaker API y al SageMaker tiempo de ejecución. El tráfico entre el dominio y su volumen de Amazon EFS pasa por la VPC que especificó al incorporarse al dominio o que llamó a la API. CreateDomain

Comunicación VPC only con Internet

Para SageMaker evitar proporcionar acceso a Internet a Studio, puedes inhabilitar el acceso a Internet especificando el tipo de acceso a la VPC only red cuando te conectes a Studio o llames a la API. CreateDomain Como resultado, no podrá ejecutar Studio a menos que su VPC tenga un punto final de interfaz para la SageMaker API y el tiempo de ejecución, o una puerta de enlace NAT con acceso a Internet, y sus grupos de seguridad permitan las conexiones salientes.

nota

El tipo de acceso a la red se puede cambiar tras la creación del dominio mediante el --app-network-access-type parámetro del comando update-domain.

Requisitos para usar el modo VPC only

Si ha elegido VpcOnly, siga estos pasos:

  1. Debe utilizar solo subredes privadas. No puede usar subredes públicas en el modo VpcOnly.

  2. Asegúrese de que sus subredes tengan la cantidad necesaria de direcciones IP. La cantidad esperada de direcciones IP necesarias por usuario puede variar según el caso de uso. Se recomiendan entre 2 y 4 direcciones IP por usuario. La capacidad total de direcciones IP de un dominio es la suma de las direcciones IP disponibles para cada subred proporcionada al crear el dominio. Asegúrese de que el uso estimado de direcciones IP no supere la capacidad admitida por la cantidad de subredes que proporcione. Además, el uso de subredes distribuidas en muchas zonas de disponibilidad puede mejorar la disponibilidad de las direcciones IP. Para obtener más información, consulte VPC and subnet sizing for IPv4.

    nota

    Solo puede configurar subredes con una VPC de tenencia predeterminada en la que su instancia se ejecute en hardware compartido. Para obtener más información sobre los atributos de tenencia para VPC, consulte Instancias dedicadas.

  3. aviso

    Al usar el modo VpcOnly, usted es propietario parcial de la configuración de red del dominio. Se recomienda la práctica de aplicar permisos de privilegio mínimo al acceso entrante y saliente que proporcionan las reglas del grupo de seguridad. Las configuraciones de reglas de entrada excesivamente permisivas podrían permitir a los usuarios con acceso a la VPC interactuar con las aplicaciones de otros perfiles de usuario sin autenticación.

    Configure uno o más grupos de seguridad con reglas de entrada y salida que permitan el siguiente tráfico:

    Cree un grupo de seguridad distinto para cada perfil de usuario y agregue el acceso entrante desde ese mismo grupo de seguridad. No se recomienda reutilizar un grupo de seguridad a nivel de dominio para los perfiles de usuario. Si el grupo de seguridad de nivel de dominio permite el acceso entrante a sí mismo, todas las aplicaciones del dominio tendrán acceso a todas las demás aplicaciones del dominio.

  4. Si desea permitir el acceso a Internet, debe usar una puerta de enlace NAT con acceso a Internet, por ejemplo, a través de una puerta de enlace de Internet.

  5. Si no quiere permitir el acceso a Internet, cree puntos finales de VPC de interfaz (AWS PrivateLink) para permitir que Studio acceda a los siguientes servicios con los nombres de servicio correspondientes. También debe asociar los grupos de seguridad de la VPC a estos puntos de conexión.

    • SageMaker API:. com.amazonaws.region.sagemaker.api

    • SageMaker tiempo de ejecución:com.amazonaws.region.sagemaker.runtime. Esto es necesario para ejecutar los cuadernos de Studio y para entrenar y alojar modelos.

    • Amazon S3: com.amazonaws.region.s3.

    • SageMaker Proyectos:com.amazonaws.region.servicecatalog.

    • SageMaker Estudio:aws.sagemaker.region.studio.

    • Cualquier otro AWS servicio que necesite.

    Si utiliza el SDK de SageMaker Python para ejecutar tareas de formación remota, también debe crear los siguientes puntos de enlace de Amazon VPC.

    • AWS Security Token Service: com.amazonaws.region.sts

    • Amazon CloudWatch:. com.amazonaws.region.logs Esto es necesario para permitir que el SDK de SageMaker Python obtenga el estado del trabajo de formación remota desde Amazon CloudWatch.

  6. Si utilizas el dominio en VpcOnly modo desde una red local, establece una conectividad privada desde la red del host que ejecuta Studio en el navegador y la Amazon VPC de destino. Esto es obligatorio porque la interfaz de usuario de Studio invoca los AWS puntos finales mediante llamadas a la API con credenciales temporales. AWS Estas credenciales temporales están asociadas a la función de ejecución del perfil de usuario registrado. Si el dominio está configurado en VpcOnly modo en una red local, la función de ejecución podría definir las condiciones de la política de IAM que exijan la ejecución de las llamadas a la API de AWS servicio únicamente a través de los puntos de enlace de Amazon VPC configurados. Esto provoca que las llamadas a la API ejecutadas desde la interfaz de usuario de Studio no se realicen correctamente. Recomendamos resolver este problema mediante una conexión o. AWS Site-to-Site VPNAWS Direct Connect

nota

Para un cliente que trabaja en modo VPC, los firewalls de la empresa pueden provocar problemas de conexión con Studio o con las aplicaciones. Realiza las siguientes comprobaciones si te encuentras con alguno de estos problemas al usar Studio desde un firewall.

  • Comprueba que la URL de Studio y las URL de todas tus aplicaciones estén en la lista de permitidos de tu red. Por ejemplo:

    *.studio.region.sagemaker.aws
*.console.aws.a2z.com

  • Compruebe que las conexiones de websocket no estén bloqueadas. Jupyter usa websockets.

Para obtener más información