Izinkan Akses hanya dari dalam VPC Anda

Pengguna di luar VPC Anda dapat terhubung ke SageMaker AI MLflow atau melalui internet bahkan jika Anda mengatur titik akhir antarmuka di VPC Anda.

Untuk mengizinkan akses hanya ke koneksi yang dibuat dari dalam VPC Anda, buat kebijakan AWS Identity and Access Management (IAM) untuk efek itu. Tambahkan kebijakan itu ke setiap pengguna, grup, atau peran yang digunakan untuk mengakses SageMaker AI MLflow. Fitur ini hanya didukung saat menggunakan mode IAM untuk otentikasi, dan tidak didukung dalam mode Pusat Identitas IAM. Contoh berikut menunjukkan cara membuat kebijakan tersebut.

penting

Jika Anda menerapkan kebijakan IAM yang mirip dengan salah satu contoh berikut, pengguna tidak dapat mengakses SageMaker AI MLflow melalui yang ditentukan SageMaker APIs melalui konsol SageMaker AI. Untuk mengakses SageMaker AI MLflow, pengguna harus menggunakan URL presigned atau menelepon SageMaker APIs langsung.

Contoh 1: Izinkan koneksi hanya dalam subnet dari titik akhir antarmuka

Kebijakan berikut hanya mengizinkan koneksi ke penelepon dalam subnet tempat Anda membuat titik akhir antarmuka.

{
    "Id": "mlflow-example-1",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "MlflowAccess",
            "Effect": "Allow",
            "Action": [
                "sagemaker-mlflow:*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceVpc": "vpc-111bbaaa"
                }
            }
        }
    ]
}

Contoh 2: Izinkan koneksi hanya melalui titik akhir antarmuka menggunakan aws:sourceVpce

Kebijakan berikut hanya mengizinkan koneksi ke koneksi yang dibuat melalui titik akhir antarmuka yang ditentukan oleh kunci aws:sourceVpce kondisi. Misalnya, titik akhir antarmuka pertama dapat memungkinkan akses melalui konsol SageMaker AI. Titik akhir antarmuka kedua dapat memungkinkan akses melalui SageMaker API.

{
    "Id": "sagemaker-mlflow-example-2",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "MlflowAccess",
            "Effect": "Allow",
            "Action": [
                "sagemaker-mlflow:*"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:sourceVpce": [
                        "vpce-111bbccc",
                        "vpce-111bbddd"
                    ]
                }
            }
        }
    ]
}

Contoh 3: Izinkan koneksi dari alamat IP menggunakan aws:SourceIp

Kebijakan berikut mengizinkan koneksi hanya dari rentang alamat IP yang ditentukan menggunakan kunci aws:SourceIp kondisi.

{
    "Id": "sagemaker-mlflow-example-3",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "MlflowAccess",
            "Effect": "Allow",
            "Action": [
                "sagemaker-mlflow:*"
            ],
            "Resource": "*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "192.0.2.0/24",
                        "203.0.113.0/24"
                    ]
                }
            }
        }
    ]
}

Contoh 4: Izinkan koneksi dari alamat IP melalui titik akhir antarmuka menggunakan aws:VpcSourceIp

Jika Anda mengakses SageMaker AI MLflow melalui titik akhir antarmuka, Anda dapat menggunakan tombol aws:VpcSourceIp kondisi untuk mengizinkan koneksi hanya dari rentang alamat IP yang ditentukan dalam subnet tempat Anda membuat titik akhir antarmuka seperti yang ditunjukkan dalam kebijakan berikut:

{
    "Id": "sagemaker-mlflow-example-4",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "MlflowAccess",
            "Effect": "Allow",
            "Action": [
                "sagemaker-mlflow:*"
            ],
            "Resource": "*",
            "Condition": {
                "IpAddress": {
                    "aws:VpcSourceIp": [
                        "192.0.2.0/24",
                        "203.0.113.0/24"
                    ]
                },
                "StringEquals": {
                    "aws:SourceVpc": "vpc-111bbaaa"
                }
            }
        }
    ]
}