Hubungkan Amazon SageMaker Studio VPC ke Sumber Daya Eksternal - Amazon SageMaker
Komunikasi default dengan internetVPC onlykomunikasi dengan internet

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Hubungkan Amazon SageMaker Studio VPC ke Sumber Daya Eksternal

penting

Per 30 November 2023, pengalaman Amazon SageMaker Studio sebelumnya sekarang bernama Amazon SageMaker Studio Classic. Bagian berikut khusus untuk menggunakan pengalaman Studio yang diperbarui. Untuk informasi tentang menggunakan aplikasi Studio Classic, lihatAmazon SageMaker Studio Klasik.

Topik berikut memberikan informasi tentang cara menghubungkan Amazon SageMaker Studio di sumber daya eksternal VPC ke sumber daya eksternal.

Komunikasi default dengan internet

Secara default, Amazon SageMaker Studio menyediakan antarmuka jaringan yang memungkinkan komunikasi dengan internet melalui VPC dikelola oleh SageMaker. Lalu lintas ke AWS layanan seperti Amazon S3 dan CloudWatch melewati gateway internet, seperti halnya lalu lintas yang mengakses dan runtime. SageMaker API SageMaker Lalu lintas antara domain dan EFS volume Amazon Anda melewati VPC yang Anda tentukan saat Anda onboard ke domain atau dipanggil. CreateDomainAPI

VPC onlykomunikasi dengan internet

Untuk SageMaker mencegah penyediaan akses internet ke Studio, Anda dapat menonaktifkan akses internet dengan menentukan jenis akses VPC only jaringan saat Anda onboard ke Studio atau menelepon. CreateDomainAPI Akibatnya, Anda tidak akan dapat menjalankan Studio kecuali Anda VPC memiliki titik akhir antarmuka ke SageMaker API dan runtime, atau NAT gateway dengan akses internet, dan grup keamanan Anda mengizinkan koneksi keluar.

catatan

Jenis akses jaringan dapat diubah setelah pembuatan domain menggunakan --app-network-access-type parameter perintah update-domain.

Persyaratan untuk menggunakan VPC only mode

Saat Anda memilihVpcOnly, ikuti langkah-langkah ini:

  1. Anda harus menggunakan subnet pribadi saja. Anda tidak dapat menggunakan subnet publik dalam VpcOnly mode.

  2. Pastikan subnet Anda memiliki jumlah alamat IP yang diperlukan. Jumlah yang diharapkan dari alamat IP yang dibutuhkan per pengguna dapat bervariasi berdasarkan kasus penggunaan. Kami merekomendasikan antara 2 dan 4 alamat IP per pengguna. Total kapasitas alamat IP untuk domain adalah jumlah alamat IP yang tersedia untuk setiap subnet yang disediakan saat domain dibuat. Pastikan perkiraan penggunaan alamat IP Anda tidak melebihi kapasitas yang didukung oleh jumlah subnet yang Anda berikan. Selain itu, menggunakan subnet yang didistribusikan di banyak zona ketersediaan dapat membantu ketersediaan alamat IP. Untuk informasi lebih lanjut, lihat VPCdan ukuran subnet untuk. IPv4

    catatan

    Anda hanya dapat mengonfigurasi subnet dengan penyewaan default VPC di mana instans Anda berjalan pada perangkat keras bersama. Untuk informasi selengkapnya tentang atribut tenancyVPCs, lihat Instans Khusus.

  3. Awas

    Saat menggunakan VpcOnly mode, Anda sebagian memiliki konfigurasi jaringan untuk domain. Kami merekomendasikan praktik keamanan terbaik untuk menerapkan izin hak istimewa terkecil ke akses masuk dan keluar yang disediakan aturan grup keamanan. Konfigurasi aturan masuk yang terlalu permisif dapat memungkinkan pengguna dengan akses ke VPC untuk berinteraksi dengan aplikasi profil pengguna lain tanpa otentikasi.

    Siapkan satu atau beberapa grup keamanan dengan aturan masuk dan keluar yang memungkinkan lalu lintas berikut:

    Buat grup keamanan yang berbeda untuk setiap profil pengguna dan tambahkan akses masuk dari grup keamanan yang sama. Kami tidak menyarankan untuk menggunakan kembali grup keamanan tingkat domain untuk profil pengguna. Jika grup keamanan tingkat domain memungkinkan akses masuk ke dirinya sendiri, maka semua aplikasi dalam domain akan memiliki akses ke semua aplikasi lain di domain.

  4. Jika Anda ingin mengizinkan akses internet, Anda harus menggunakan NATgateway dengan akses ke internet, misalnya melalui gateway internet.

  5. Jika Anda tidak ingin mengizinkan akses internet, buat VPC titik akhir antarmuka (AWS PrivateLink) untuk memungkinkan Studio mengakses layanan berikut dengan nama layanan yang sesuai. Anda juga harus mengaitkan grup keamanan untuk Anda VPC dengan titik akhir ini.

    • SageMaker API : com.amazonaws.region.sagemaker.api.

    • SageMaker runtime:com.amazonaws.region.sagemaker.runtime. Ini diperlukan untuk menjalankan notebook Studio dan untuk melatih dan meng-host model.

    • Amazon S3:. com.amazonaws.region.s3

    • SageMaker Proyek:com.amazonaws.region.servicecatalog.

    • SageMaker Studio:aws.sagemaker.region.studio.

    • Lainnya AWS layanan yang Anda butuhkan.

    Jika Anda menggunakan SageMaker Python SDK untuk menjalankan pekerjaan pelatihan jarak jauh, Anda juga harus membuat endpoint Amazon VPC berikut.

    • AWS Security Token Service: com.amazonaws.region.sts

    • Amazon CloudWatch:com.amazonaws.region.logs. Ini diperlukan untuk memungkinkan SageMaker Python SDK mendapatkan status pekerjaan pelatihan jarak jauh dari Amazon CloudWatch.

  6. Jika menggunakan domain dalam VpcOnly mode dari jaringan lokal, buat konektivitas pribadi dari jaringan host yang menjalankan Studio di browser dan Amazon VPC target. Ini diperlukan karena UI Studio memanggil AWS titik akhir menggunakan API panggilan dengan sementara AWS kredensialnya. Kredensi sementara ini terkait dengan peran eksekusi profil pengguna yang dicatat. Jika domain dikonfigurasi dalam VpcOnly mode di jaringan lokal, peran eksekusi mungkin menentukan kondisi IAM kebijakan yang memberlakukan eksekusi AWS APIpanggilan layanan hanya melalui VPC titik akhir Amazon yang dikonfigurasi.Hal ini menyebabkan API panggilan yang dijalankan dari UI Studio gagal. Kami merekomendasikan untuk menyelesaikan ini menggunakan AWS Site-to-Site VPN atau AWS Direct Connectkoneksi.

catatan

Untuk pelanggan yang bekerja dalam VPC mode, firewall perusahaan dapat menyebabkan masalah koneksi dengan Studio atau aplikasi. Lakukan pemeriksaan berikut jika Anda mengalami salah satu masalah ini saat menggunakan Studio dari belakang firewall.

  • Verifikasi bahwa Studio URL dan URLs untuk semua aplikasi Anda ada di daftar izin jaringan Anda. Sebagai contoh:

    *.studio.region.sagemaker.aws
*.console.aws.a2z.com

  • Verifikasi bahwa koneksi websocket tidak diblokir. Jupyter menggunakan soket web.

Untuk informasi selengkapnya