Amazon VPC のリソースへのアクセス権をSageMaker コンパイルジョブに付与する - Amazon SageMaker

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon VPC のリソースへのアクセス権をSageMaker コンパイルジョブに付与する

注記

コンパイルジョブの場合は、デフォルトのテナンシー VPC でのみサブネットを設定できます。このデフォルトでは、ジョブは共有ハードウェアで実行されます。VPC のテナンシー属性の詳細については、「ハードウェア専有インスタンス」を参照してください。

Amazon VPC アクセスのコンパイルJob 設定

プライベート VPC 内のサブネットとセキュリティグループを指定するには、VpcConfigリクエストパラメーター CreateCompilationJobAPI でコンパイルするか、SageMaker コンソールでコンパイルジョブを作成するときにこの情報を指定します。SageMaker Neo は、この情報を使用してネットワークインターフェイスを作成し、コンパイルジョブにアタッチします。ネットワークインターフェイスは、インターネットに接続されていない VPC 内のネットワーク接続をコンパイルジョブに提供します。また、コンパイルジョブがプライベート VPC 内のリソースに接続できるようにします。次に、VpcConfig への呼び出しに含める CreateCompilationJob パラメータの例を示します。

VpcConfig: {"Subnets": [ "subnet-0123456789abcdef0", "subnet-0123456789abcdef1", "subnet-0123456789abcdef2" ], "SecurityGroupIds": [ "sg-0123456789abcdef0" ] }

SageMaker コンパイル用にプライベート VPC を設定する

プライベート VPC を SageMaker コンパイルジョブ用に設定する場合は、以下のガイドラインに従います。VPC を設定する方法の詳細については、「」を参照してください。VPC とサブネットの使用Amazon VPC User Guide

サブネットに十分な IP アドレスがあることを確認する

VPC サブネットには、コンパイルジョブの各インスタンス用プライベート IP アドレスが少なくとも 2 つ必要です。詳細については、Amazon VPC ユーザーガイドIPv4 用の VPC とサブネットのサイズ設定を参照してください。

Amazon S3 VPC エンドポイント

インターネットへのアクセスをブロックするように VPC を設定した場合は、アクセスを許可する VPC エンドポイントを作成しない限り、SageMaker Neo はモデルを含む Amazon Simple Bucketsに接続できません。VPC エンドポイントを作成することで、データとモデルのアーティファクトを保存するバケットに SageMaker Neo コンパイルジョブがアクセスできるようにします。プライベート VPC からのリクエストのみに S3 バケットへのアクセスを許可するカスタムポリシーも作成することをお勧めします。詳細については、Amazon S3 のエンドポイントを参照してください。

S3 VPC エンドポイントを作成するには

  1. Amazon VPC コンソール (https://console.aws.amazon.com/vpc/) を開きます。

  2. ナビゲーションペインで [エンドポイント] を選択し、[エンドポイントの作成] を選択します。

  3. を使用する場合サービス名で、検索com.amazonaws.リージョンs3ここで、とします。リージョンは VPC が存在するリージョンの名前です。

  4. [ゲートウェイタイプを作成することができます。

  5. [VPC] で、エンドポイントに使用する VPC を選択します。

  6. [Configure route tables] で、エンドポイントで使用するルートテーブルを選択します。VPC サービスで、選択した各ルートテーブルに、S3 トラフィックを新しいエンドポイントに向けるルートが自動的に追加されます。

  7. [ポリシー] で、[フルアクセス] を選択して、VPC 内の任意のユーザーまたはサービスによる S3 サービスへのフルアクセスを許可します。アクセスを詳細に制限するには、[カスタム] を選択します。詳細については、カスタムエンドポイントポリシーを使用して S3 へのアクセスを制限する を参照してください。

カスタムエンドポイントポリシーを使用して S3 へのアクセスを制限する

デフォルトのエンドポイントポリシーでは、VPC のすべてのユーザーまたはサービスに対して S3 へのフルアクセスが許可されています。S3 へのアクセスを詳細に制限するには、カスタムエンドポイントポリシーを作成します。詳細については、「」を参照してください。Amazon S3 のエンドポイントポリシーの使用。バケットポリシーを使用して、S3 バケットへのアクセスを Amazon VPC からのトラフィックのみに制限することもできます。詳細については、 を参照してください。Amazon S3 バケットポリシーの使用。次に、カスタマイズしたポリシーのサンプルを示します。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Principal": { "AWS": "*" }, "Action": "s3:GetObject", "Resource": [ "arn:aws:s3:::your-sample-bucket", "arn:aws:s3:::your-sample-bucket/*" ], "Condition": { "StringNotEquals": { "aws:SourceVpce": [ "vpce-01234567890123456" ] } } } ] }

Amazon VPC で実行されているコンパイルJob アクセス許可をカスタム IAM ポリシーに追加する

-SageMakerFullAccess管理ポリシーには、エンドポイントでの Amazon VPC アクセス用に設定されたモデルを使用するのに必要なアクセス許可が含まれます。これらのアクセス許可により、SageMaker Neo は Eelastic network interface を作成し、それを Amazon VPC で実行されているコンパイルジョブにアタッチすることができます。独自の IAM ポリシーを使用する場合は、以下のアクセス許可をそのポリシーに追加して、Amazon VPC アクセス用に設定されたモデルを使用する必要があります。

{"Version": "2012-10-17", "Statement": [ {"Effect": "Allow", "Action": [ "ec2:DescribeVpcEndpoints", "ec2:DescribeDhcpOptions", "ec2:DescribeVpcs", "ec2:DescribeSubnets", "ec2:DescribeSecurityGroups", "ec2:DescribeNetworkInterfaces", "ec2:DeleteNetworkInterfacePermission", "ec2:DeleteNetworkInterface", "ec2:CreateNetworkInterfacePermission", "ec2:CreateNetworkInterface", "ec2:ModifyNetworkInterfaceAttribute" ], "Resource": "*" } ] }

SageMakerFullAccess 管理ポリシーの詳細については、「AmazonSageMakerFullAccess」を参照してください。

ルートテーブルの設定

エンドポイントルートテーブルのデフォルトの DNS 設定を使用して、標準 Amazon S3 URL ()http://s3-aws-region.amazonaws.com/MyBucket) を解決します。デフォルトの DNS 設定を使用しない場合は、エンドポイントルートテーブルを設定することで、コンパイルジョブのデータの場所の指定に使用する URL が解決されるようにします。VPC エンドポイントルートテーブルについては、「」を参照してください。ゲートウェイエンドポイントのルーティングAmazon VPC User Guide

VPC セキュリティグループを設定する

コンパイルジョブのセキュリティグループで、Amazon S3 Amazon VPC エンドポイントおよびコンパイルジョブに使用されるサブネット CIDR 範囲へのアウトバウンド通信を許可する必要があります。詳細については、 を参照してください。セキュリティグループのルールおよびAmazon VPC エンドポイントでサービスへのアクセスを制御する