Amazon SageMaker AI에 대한 사용자 지정 설정 사용

조직 설정(사용자 지정 설정)은 Amazon SageMaker AI 도메인의 고급 설정을 안내합니다. 이 옵션은 권한, 통합 및 암호화를 포함하여 계정 구성의 모든 측면을 이해하고 제어하는 데 도움이 되는 정보와 권장 사항을 제공합니다. 사용자 지정 도메인을 설정하려면 이 옵션을 사용하세요. 도메인에 대한 자세한 내용은 Amazon SageMaker AI 도메인 개요 섹션을 참조하세요.

주제

인증 방법
조직용 설정(사용자 지정 설정)
온보딩 후 도메인 액세스

인증 방법

도메인을 설정하기 전에 사용자가 도메인에 액세스할 수 있는 인증 방법을 고려합니다.

AWS 자격 증명 센터:

사용자 그룹에 대한 액세스 권한 관리를 간소화하는 데 도움이 됩니다. 각 개인 사용자에게 권한을 적용하는 대신 사용자 그룹에 권한을 부여하거나 거부할 수 있습니다. 사용자가 다른 조직으로 이동하는 경우 해당 사용자를 다른 AWS Identity and Access Management Identity Center(AWS IAM Identity Center) 그룹으로 이동할 수 있습니다. 그러면 사용자는 새 조직에 필요한 권한을 자동으로 받게 됩니다.

IAM Identity Center는 도메인 AWS 리전 과 동일한에 있어야 합니다.

IAM Identity Center를 사용하여 설정하려면 AWS IAM Identity Center 사용 설명서의 다음 지침을 사용하세요.
- AWS IAM Identity Center활성화부터 시작합니다.
- 최소 권한 적용 모범 사례를 따르는 권한 세트를 만듭니다.
- IAM Identity Center 디렉터리에 그룹을 추가합니다.
- 사용자 및 그룹에 Single Sign-On 액세스 권한을 할당합니다.
- IAM Identity Center에서 일반 작업을 시작하려면 기본 워크플로를 확인합니다.
IAM Identity Center의 사용자는 자신에게 이메일로 전송되는 AWS 액세스 포털 URL을 사용하여 도메인에 액세스할 수 있습니다. 이 이메일에는 도메인에 액세스할 계정을 만드는 지침이 나와 있습니다. 자세한 내용은 AWS 액세스 포털에 로그인하기를 참조하세요.

관리자는 IAM Identity Center로 AWS 액세스 포털 이동하여 설정 요약에서 AWS 액세스 포털 URL을 찾아 URL을 찾을 수 있습니다.
도메인에 대한 액세스를 특정 Amazon Virtual Private Cloud(VPCs), 인터페이스 엔드포인트 또는 사전 정의된 IP 주소 집합으로만 제한하려면 도메인에서 AWS Identity and Access Management (IAM) 인증을 사용해야 합니다. IAM Identity Center 인증을 사용하는 도메인에는 이 기능이 지원되지 않습니다. IAM Identity Center를 사용하여 중앙 집중식 인력 ID 제어를 활성화할 수 있습니다. 일관된 사용자 로그인 경험을 제공하기 위해 IAM Identity Center를 유지하면서 이러한 제한을 구현하는 방법에 대한 지침은 AWS 기계 학습 블로그의 Secure access to Amazon SageMaker Studio Classic with IAM Identity Center and a SAML application을 참조하세요. AWS SSO는이 블로그의 IAM Identity Center입니다.

IAM을 통한 로그인:

사용자 프로필은 계정에 로그인한 후 SageMaker AI 콘솔을 통해 도메인에 액세스할 수 있습니다.
AWS Identity and Access Management (IAM) 인증을 사용할 때 도메인에 대한 액세스를 특정 Amazon Virtual Private Clouds(Amazon VPC), 인터페이스 엔드포인트 또는 사전 정의된 IP 주소 집합으로만 제한할 수 있습니다. 자세한 내용은 VPC 내에서만 액세스 허용 단원을 참조하십시오.

조직용 설정(사용자 지정 설정)

의 사전 조건을 충족한 후 SageMaker AI 도메인 설정(사용자 지정 설정) 페이지를 Amazon SageMaker AI 사전 조건 완료열고 설정에 대한 자세한 내용을 보려면 다음 섹션을 확장합니다.

SageMaker AI 콘솔에서 SageMaker AI 도메인 설정 열기 SageMaker

SageMaker AI 콘솔을 엽니다.
왼쪽 탐색 창에서 관리자 구성을 선택하여 옵션을 확장합니다.
관리자 구성에서 도메인을 선택합니다.
도메인 페이지에서 Create domain(도메인 생성)을 선택합니다.
SageMaker AI 도메인 설정 페이지에서 조직에 대한 설정을 선택합니다.
설정을 선택합니다.

SageMaker AI 도메인 설정 페이지를 연 후 다음 지침을 사용합니다.

도메인 이름에 고유한 도메인 이름을 입력합니다. 예를 들어 프로젝트 또는 팀 이름이 될 수 있습니다.
Next(다음)를 선택합니다.

이 단계에서는 도메인에 대한 인증 방법, 사용자 및 권한을 설정합니다.

Studio 액세스 방법에서 두 가지 옵션 중 하나를 선택할 수 있습니다. 인증 방법에 대한 자세한 내용은 인증 방법 섹션을 참조하세요. 옵션에 대한 자세한 내용은 다음에서 확인할 수 있습니다.
- AWS 자격 증명 센터:
  
  Studio를 사용할 사용자 아래에서 도메인에 액세스할 AWS IAM Identity Center 그룹을 선택합니다.
  
  Identity Center 사용자 그룹 없음을 선택하면 사용자가 없이 도메인을 만듭니다. 도메인을 만든 후 도메인에 IAM Identity Center 그룹을 추가할 수 있습니다. 자세한 내용은 도메인 설정 편집 단원을 참조하십시오.
- IAM을 통한 로그인:
  
  Studio를 사용할 사람에서 + 사용자 추가를 선택하고 새 사용자 프로필 이름을 입력한 다음 추가를 선택하여 사용자 프로필 이름을 만들고 추가합니다.
  
  이 프로세스를 반복하여 여러 사용자 프로필을 만들 수 있습니다.
Studio를 사용할 사람에서 IAM Identity Center 사용자 또는 그룹을 선택한 다음 선택을 선택합니다. IAM Identity Center가 구성된 것과 동일한 리전 내에 Amazon SageMaker Studio를 설정해야 합니다. 콘솔 오른쪽 상단의 드롭다운 목록에서 리전을 선택하여 도메인의 리전을 변경하거나 AWS 액세스 포털로 이동하여 IAM Identity Center 리전을 변경할 수 있습니다.
수행할 ML 활동에서 기존 역할 사용을 선택하여 기존 역할을 사용하거나 새 역할 만들기를 선택하고 역할이 액세스할 수 있는 ML 활동을 선택하여 새 역할을 만들 수 있습니다.
ML 활동을 선택하는 동안 요구 사항을 충족해야 할 수 있습니다. 요구 사항을 충족하려면 추가를 선택하고 요구 사항을 충족합니다.
모든 요구 사항이 충족되면 다음을 선택합니다.

이 단계에서는 이전 단계에서 활성화한 애플리케이션을 구성할 수 있습니다. ML 활동에 대한 자세한 내용은 ML 활동 참조 섹션을 참조하세요.

애플리케이션이 활성화되지 않은 경우 해당 애플리케이션에 대한 경고가 표시됩니다. 활성화되지 않은 애플리케이션을 활성화하려면 뒤로를 선택하여 이전 단계로 돌아가서 이전 지침을 따릅니다.

Studio 구성:

Studio에서 Studio의 최신 버전과 클래식 버전 중에서 기본 환경을 선택할 수 있습니다. 즉, Studio를 열 때 상호 작용하는 ML 환경을 선택하는 것입니다.
- Studio에는 Amazon SageMaker Studio Classic을 포함한 여러 통합 개발 환경(IDE)과 애플리케이션이 포함되어 있습니다. 이 옵션을 선택하면 Studio Classic IDE에 기본 설정이 있습니다. 기본 설정에 대한 자세한 내용은 기본 설정 섹션을 참조하세요.
  
  Studio에 대한 자세한 내용은 Amazon SageMaker Studio 섹션을 참조하세요.
- Studio Classic에는 Jupyter IDE가 포함되어 있습니다. 선택하면 Studio Classic 구성을 구성할 수 있습니다.
  
  Studio Classic에 대한 자세한 내용은 Amazon SageMaker Studio Classic 섹션을 참조하세요.
SageMaker Canvas 구성:

Amazon SageMaker Canvas를 활성화한 경우 온보딩에 대한 지침 및 구성 세부 정보는 Amazon SageMaker Canvas 사용 시작하기 섹션을 참조하세요.
Studio Classic 구성:

기본 환경으로 Studio(권장)를 선택한 경우 Studio Classic IDE에 기본 설정이 있습니다. 기본 설정에 대한 자세한 내용은 기본 설정 섹션을 참조하세요.

Studio Classic을 기본 환경으로 선택한 경우 노트북 리소스 공유를 활성화하거나 비활성화할 수 있습니다. 노트북 리소스에는 셀 출력 및 Git 리포지토리와 같은 아티팩트가 포함됩니다. 프라이빗 리소스에 대한 자세한 내용은 Amazon SageMaker Studio Classic 노트북 공유 및 사용 섹션을 참조하세요.

노트북 리소스 공유를 활성화한 경우:
1. 공유 가능한 노트북 리소스의 S3 위치에 Amazon S3 위치를 입력합니다.
2. 암호화 키 - 선택 사항에서 사용자 지정 암호화 없음으로 두거나 기존 AWS KMS 키를 선택하거나 KMS 키 ARN 입력을 선택하고 AWS KMS 키의 ARN을 입력합니다.
3. 노트북 셀 출력 공유 기본 설정에서 사용자가 셀 출력을 공유하도록 허용 또는 셀 출력 공유 비활성화를 선택합니다.
RStudio 구성:

RStudio를 활성화하려면 RStudio 라이선스가 필요합니다. 설정하려면 RStudio 라이선스 받기 섹션을 참조하세요.
1. RStudio Workbench에서 RStudio 라이선스가 자동으로 감지되는지 확인합니다. RStudio 라이선스를 가져와 SageMaker AI로 활성화하는 방법에 대한 자세한 내용은 섹션을 참조하세요RStudio 라이선스 받기.
2. RStudio 서버를 시작할 인스턴스 유형을 선택합니다. 자세한 내용은 RStudioServerPro 인스턴스 유형섹션을 참조하세요.
3. 권한에서 역할을 생성하거나 기존 역할을 선택합니다. 역할에는 다음과 같은 권한 정책이 있어야 합니다. 이 정책은 필요한 리소스에 RStudioServerPro 애플리케이션이 액세스하도록 허용합니다. 또한 기존 RStudioServerPro 애플리케이션이 Deleted 또는 Failed 상태일 때 Amazon SageMaker AI가 RStudioServerPro 애플리케이션을 자동으로 시작할 수 있습니다. 역할에 권한을 추가하는 방법은 역할 권한 정책 수정(콘솔)을 참조하세요.
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "license-manager:ExtendLicenseConsumption",
                "license-manager:ListReceivedLicenses",
                "license-manager:GetLicense",
                "license-manager:CheckoutLicense",
                "license-manager:CheckInLicense",
                "logs:CreateLogDelivery",
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:DeleteLogDelivery",
                "logs:Describe*",
                "logs:GetLogDelivery",
                "logs:GetLogEvents",
                "logs:ListLogDeliveries",
                "logs:PutLogEvents",
                "logs:PutResourcePolicy",
                "logs:UpdateLogDelivery",
                "sagemaker:CreateApp"
            ],
            "Resource": "*"
        }
    ]
}    
```
4. RStudio Connect에서 RStudio Connect 서버의 URL을 추가합니다. RStudio Connect는 Shiny 애플리케이션, R Markdown 보고서, 대시보드, 플롯 등을 위한 퍼블리싱 플랫폼입니다. SageMaker AI에서 RStudio에 온보딩하면 RStudio Connect 서버가 생성되지 않습니다. 자세한 내용은 RStudio Connect URL 추가 단원을 참조하십시오.
5. RStudio 패키지 관리자에서 RStudio 패키지 관리자의 URL을 추가합니다. SageMaker AI는 RStudio를 온보딩할 때 Package Manager에 대한 기본 패키지 리포지토리를 생성합니다. RStudio 패키지 관리자에 대한 자세한 내용은 RStudio 패키지 관리자 URL 업데이트섹션을 참조하세요.
6. Next(다음)을 선택합니다.
코드 편집기 구성:

코드 편집기가 활성화된 경우 개요 및 구성 세부 정보는 Amazon SageMaker Studio의 코드 편집기 섹션을 참조하세요.

이 섹션에서는 Studio에 표시되는, 볼 수 있는 애플리케이션 및 기계 학습(ML) 도구를 사용자 지정할 수 있습니다. 이 사용자 지정은 Studio의 왼쪽 탐색 창에서만 애플리케이션과 ML 도구를 숨깁니다. Studio UI에 대한 자세한 내용은 Amazon SageMaker Studio UI 개요 섹션을 참조하세요.

애플리케이션에 대한 자세한 설명은 Amazon SageMaker Studio에서 지원되는 애플리케이션 섹션을 참조하세요.

Studio Classic에서는 사용자 지정 Studio UI 기능을 사용할 수 없습니다. Studio를 기본 환경으로 설정하려면 이전을 선택하여 이전 단계로 돌아갑니다.

Studio UI 사용자 지정 페이지에서 Studio에 표시된 애플리케이션과 ML 도구의 토글을 꺼서 숨길 수 있습니다.
변경 사항을 검토한 후 다음을 선택합니다.

Studio가 다른 AWS 서비스에 연결하는 방법을 선택합니다.

가상 프라이빗 클라우드(VPC) 전용 네트워크 액세스 유형을 사용하여 지정함으로써 Studio에 대한 인터넷 액세스를 비활성화할 수 있습니다. 이 옵션을 선택하면 VPC에 SageMaker API 및 런타임에 대한 인터페이스 엔드포인트 또는 인터넷 액세스를 가진 네트워크 주소 변환(NAT) 게이트웨이가 있고 보안 그룹이 아웃바운드 연결을 허용해야만 Studio 노트북을 실행할 수 있습니다. Amazon VPC에 대한 자세한 내용은 Amazon VPC 선택 섹션을 참조하세요.

가상 프라이빗 클라우드(VPC)를 선택하는 경우 다음 단계만 필요합니다. 퍼블릭 인터넷 액세스를 선택한 경우 다음 단계 중 처음 두 단계가 필요합니다.

VPC 에서 Amazon VPC ID를 선택합니다.
서브넷에서 서브넷을 하나 이상 선택합니다. 서브넷을 선택하지 않으면 SageMaker AI는 Amazon VPC의 모든 서브넷을 사용합니다. 제한된 가용 영역에서 생성되지 않은 여러 서브넷을 사용하는 것이 좋습니다. 이렇게 제한된 가용 영역에서 서브넷을 사용하는 경우, 용량 부족 오류가 발생하고 애플리케이션 생성 시간이 길어질 수 있습니다. 제한된 가용 영역에 대한 자세한 내용은 가용 영역을 참조하세요.
보안 그룹에서 하나 이상의 서브넷을 선택합니다.

VPC만 선택하면 SageMaker AI는 도메인에 대해 정의된 보안 그룹 설정을 도메인에서 생성된 모든 공유 공간에 자동으로 적용합니다. 퍼블릭 인터넷만 선택하면 SageMaker AI는 도메인에서 생성된 공유 공간에 보안 그룹 설정을 적용하지 않습니다.

데이터를 암호화하는 옵션이 있습니다. 도메인을 만들 때 사용자를 위해 만들어지는 Amazon Elastic File System(Amazon EFS) 및 Amazon Elastic Block Store(Amazon EBS) 파일 시스템입니다. Amazon EBS 크기는 코드 편집기와 JupyterLab 공간 모두에서 사용됩니다.

Amazon EFS 및 Amazon EBS 파일 시스템을 암호화한 후에는 암호화 키를 변경할 수 없습니다. Amazon EFS 및 Amazon EBS 파일 시스템을 암호화하려면 다음 구성을 사용할 수 있습니다.

암호화 키 - 선택 사항에서 사용자 지정 암호화 없음으로 두거나 기존 KMS 키를 선택하거나 KMS 키 ARN 입력을 선택하고 KMS 키의 ARN을 입력합니다.
기본 공간 크기 - 선택 사항에서 기본 공간 크기를 입력합니다.
최대 공간 크기 - 선택 사항에서 최대 공간 크기를 입력합니다.

도메인 설정을 검토합니다. 설정을 변경해야 하는 경우 관련 단계 옆에 있는 편집을 선택합니다. 도메인 설정이 정확한지 확인한 후 제출을 선택하면 도메인이 만들어집니다. 이 프로세스는 몇 분 정도 걸릴 수 있습니다.

다음 섹션에서는 IAM Identity Center 또는 IAM 인증 방법을 사용하여 도메인을 사용자 지정하는 방법에 대한 AWS CLI 지침을 제공합니다.

에서 AWS CLI 자격 증명 설정을 포함한 사전 조건을 충족한 후 다음 단계를 Amazon SageMaker AI 사전 조건 완료사용합니다.

도메인을 만들고 AmazonSageMakerFullAccess 정책을 연결하는 데 사용되는 실행 역할을 만듭니다. SageMaker AI에 역할을 수임할 수 있는 권한을 부여하는 연결된 신뢰 정책이 최소한 있는 기존 역할을 사용할 수도 있습니다. 자세한 내용은 SageMaker AI 실행 역할을 사용하는 방법 단원을 참조하십시오.
```
aws iam create-role --role-name execution-role-name --assume-role-policy-document file://execution-role-trust-policy.json
aws iam attach-role-policy --role-name execution-role-name --policy-arn arn:aws:iam::aws:policy/AmazonSageMakerFullAccess
```

계정의 기본 Amazon Virtual Private Cloud(VPC)를 가져옵니다.


aws --region region ec2 describe-vpcs --filters Name=isDefault,Values=true --query "Vpcs[0].VpcId" --output text

기본 Amazon VPC의 서브넷 목록을 가져옵니다.


aws --region region ec2 describe-subnets --filters Name=vpc-id,Values=default-vpc-id --query "Subnets[*].SubnetId" --output json

기본 Amazon VPC ID, 서브넷, 실행 역할 ARN을 전달하여 도메인을 만듭니다. 또한 SageMaker AI 이미지 ARN을 전달해야 합니다. 사용 가능한 JupyterLab 버전 ARN에 대한 자세한 내용은 기본 JupyterLab 버전 설정하기섹션을 참조하세요.

authentication-mode의 경우 IAM Identity Center 인증에 SSO를 사용하거나 IAM 인증에 IAM을 사용합니다.
```
aws --region region sagemaker create-domain --domain-name domain-name --vpc-id default-vpc-id --subnet-ids subnet-ids --auth-mode authentication-mode --default-user-settings "ExecutionRole=arn:aws:iam::account-number:role/execution-role-name,JupyterServerAppSettings={DefaultResourceSpec={InstanceType=system,SageMakerImageArn=image-arn}}" \ --query DomainArn --output text
```
를 사용하여 StudioWebPortalSettings AWS CLI 를 사용하여 도메인에 대해 Studio에 표시되는 애플리케이션 및 ML 도구를 사용자 지정할 수 있습니다. HiddenAppTypes을 사용하여 애플리케이션을 숨기고 HiddenMlTools을 사용하여 ML 도구를 숨깁니다. Studio UI의 왼쪽 탐색 창을 사용자 지정하는 방법에 대한 자세한 내용은 Amazon SageMaker Studio UI에서 기계 학습 도구 및 애플리케이션 숨기기 섹션을 참조하세요. Studio Classic에서는 이 기능을 사용할 수 없습니다.
도메인이 만들어졌는지 확인합니다.
```
aws --region region sagemaker list-domains
```

를 사용하여 도메인을 생성하는 방법에 대한 자세한 내용은 사용 설명서의 AWS::SageMaker::Domain을 AWS CloudFormation참조하세요. AWS CloudFormation

도메인을 설정하는 데 사용할 수 있는 AWS CloudFormation 템플릿의 예는 aws-samples GitHub 리포지토리에서를 사용하여 Amazon SageMaker AI 도메인 생성을 AWS CloudFormation 참조하세요.

도메인이 설정된 후 관리 사용자는 도메인을 보고 편집할 수 있습니다. 자세한 내용은 도메인 보기 및 도메인 설정 편집 섹션을 참조하세요.

온보딩 후 도메인 액세스

사용자는 다음을 사용하여 SageMaker AI에 액세스할 수 있습니다.

도메인이 IAM Identity Center 인증을 사용하여 설정된 경우 로그인 URL. 자세한 내용은 AWS 액세스 포털에 로그인하기를 참조하세요.
SageMaker AI 콘솔.

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

빠른 설정 사용

도메인 개요