SageMaker AI MLflow の VPC エンドポイントポリシーを作成する

SageMaker AI MLflow への接続に使うインターフェイス VPC エンドポイントには、Amazon VPC エンドポイントポリシーをアタッチできます。エンドポイントポリシーは、MLflow へのアクセスを制御します。以下を指定できます。

• アクションを実行できるプリンシパル。

• 実行可能なアクション。

• アクションを実行できるリソース。

詳細については、「VPC エンドポイントによるサービスのアクセスコントロール」を参照してください。

次の VPC エンドポイントポリシーの例では、エンドポイントにアクセスできるすべてのユーザーが、指定した MLflow Tracking Server にアクセスできるように指定しています。他の Tracking Server へのアクセスは拒否されます。

{
    "Statement": [
        {
            "Action": "sagemaker-mlflow:*",
            "Effect": "Allow",
            "Principal": "*",
            "Resource": "arn:aws:sagemaker:AWS リージョン:111122223333:mlflow-tracking-server/*"
        }
    ]
}

MLflow アプリの場合は、 sagemaker:CallMlflowAppApiアクションと MLflow アプリリソース ARN を使用します。次の例を使用して、指定した MLflow アプリへのアクセスを許可します。このポリシーは、他のすべての MLflow アプリへのアクセスを拒否します。

{
    "Statement": [
        {
            "Action": "sagemaker:CallMlflowAppApi",
            "Effect": "Allow",
            "Principal": "*",
            "Resource": "arn:aws:sagemaker:AWS リージョン:111122223333:mlflow-app/*"
        }
    ]
}