SageMaker 처리 작업에 Amazon VPC의 리소스에 대한 액세스 권한을 부여하십시오.

데이터 및 처리 작업에 대한 액세스를 제어하려면 프라이빗 서브넷이 있는 Amazon VPC를 생성하세요. VPC 생성 및 구성에 대한 자세한 내용은 Amazon VPC 사용 설명서의 Amazon VPC 시작을 참조하세요.

VPC 흐름 로그를 사용하여 처리 컨테이너 안팎의 모든 네트워크 트래픽을 모니터링할 수 있습니다. 자세한 내용은 Amazon VPC 사용 설명서의 VPC 흐름 로그를 참조하세요.

이 문서에서는 작업 처리를 위해 Amazon VPC 구성을 추가하는 방법을 설명합니다.

Amazon VPC 액세스를 위한 처리 작업 구성

VPC 내의 서브넷 및 보안 그룹 ID를 지정하여 처리 작업을 구성합니다. 처리 컨테이너의 서브넷을 지정할 필요가 없습니다. 아마존은 Amazon ECR에서 처리 컨테이너를 SageMaker 자동으로 가져옵니다. 처리 컨테이너에 대한 자세한 정보는 처리 작업을 사용하여 데이터 변환 워크로드 실행을 참조하세요.

처리 작업을 생성할 때 콘솔이나 API를 사용하여 VPC의 서브넷 및 보안 그룹을 지정할 수 있습니다. SageMaker

API를 사용하려면 작업의 NetworkConfig.VpcConfig 파라미터에 서브넷과 보안 그룹 ID를 지정합니다. CreateProcessingJob SageMaker 서브넷 및 보안 그룹 세부 정보를 사용하여 네트워크 인터페이스를 생성하고 처리 컨테이너에 연결합니다. 네트워크 인터페이스는 처리 컨테이너에 VPC 내의 네트워크 연결을 제공합니다. 이렇게 하면 처리 작업을 VPC에 있는 리소스에 연결할 수 있습니다.

다음은 CreateProcessingJob작업 호출에 포함할 VpcConfig파라미터의 예입니다.

VpcConfig: {
    "Subnets": [
        "subnet-0123456789abcdef0",
        "subnet-0123456789abcdef1",
        "subnet-0123456789abcdef2"
    ],    
    "SecurityGroupIds": [
        "sg-0123456789abcdef0"
    ]
}

SageMaker 처리를 위한 프라이빗 VPC 구성

SageMaker 처리 작업을 위해 프라이빗 VPC를 구성할 때는 다음 가이드라인을 사용하십시오. VPC 설정에 대한 자세한 내용은 Amazon VPC 사용 설명서의 VPC 및 서브넷 작업을 참조하세요.

서브넷에 충분한 IP 주소를 확보해야 합니다

VPC 서브넷에는 처리 작업의 각 인스턴스에 대해 최소 2개 이상의 프라이빗 IP 주소가 있어야 합니다. 자세한 내용은 Amazon VPC 사용 설명서의 IPv4에 대한 VPC 및 서브넷 크기 조정을 참조하세요.

Amazon S3 VPC 엔드포인트 생성

처리 컨테이너가 인터넷에 액세스할 수 없도록 VPC를 구성한 경우 액세스를 허용하는 VPC 엔드포인트를 생성하지 않는 한 데이터가 포함된 Amazon S3 버킷에 연결할 수 없습니다. VPC 엔드포인트를 생성함으로써 데이터를 저장한 버킷에 처리 컨테이너가 액세스하도록 할 수 있습니다. 프라이빗 VPC의 S3 버킷 액세스 요청만을 허용하는 사용자 지정 정책을 생성하는 것이 좋습니다. 자세한 내용은 Amazon S3용 엔드포인트를 참조하세요.

S3 VPC 엔드포인트를 생성하려면

1. https://console.aws.amazon.com/vpc/에서 Amazon VPC 콘솔을 여세요.

2. 탐색 창에서 엔드포인트를 선택하고 엔드포인트 생성을 선택합니다.

3. 서비스 이름에서 com.amazonaws.region.s3를 선택합니다.여기서 region은 VPC가 상주하는 리전의 이름입니다.

4. VPC에서 이 엔드포인트에 사용할 VPC를 선택합니다.

5. 라우팅 테이블 구성에서 엔드포인트에서 사용할 라우팅 테이블을 선택합니다. 그러면 VPC 서비스는 사용자가 선택한 각 라우팅 테이블에 S3 트래픽을 새 엔드포인트로 유도하는 경로를 자동으로 추가합니다.

6. 정책에서 모든 액세스를 선택하여 VPC의 모든 사용자 또는 서비스에 S3 서비스에 대한 모든 액세스를 허용합니다. 액세스 권한을 추가로 제한하려면 사용자 지정을 선택합니다. 자세한 내용은 사용자 지정 엔드포인트 정책을 사용하여 S3에 대한 액세스 제한을 참조하세요.

사용자 지정 엔드포인트 정책을 사용하여 S3에 대한 액세스 제한

기본 엔드포인트 정책은 VPC의 모든 사용자 또는 서비스에 S3에 대한 모든 액세스를 허용합니다. S3에 대한 액세스를 추가로 제한하려면 사용자 지정 엔드포인트 정책을 생성합니다. 자세한 내용은 의 Amazon S3용 엔드포인트 정책 사용을 참조하세요. 또한 S3 버킷에 대한 액세스를 Amazon VPC에서 시작하는 트래픽으로만 제한하는 버킷 정책을 사용할 수도 있습니다. 자세한 내용은 Amazon S3 버킷 정책 사용을 참조하세요.

처리 컨테이너에서 패키지 설치 제한

기본 엔드포인트 정책은 사용자가 처리 컨테이너에 있는 Amazon Linux 및 Amazon Linux 2 리포지토리에서 패키지를 설치하도록 허용합니다. 사용자가 해당 리포지토리의 패키지를 설치하지 않도록 하려면 Amazon Linux 및 Amazon Linux 2 리포지토리에 대한 액세스를 명시적으로 거부하는 사용자 지정 엔드포인트 정책을 생성합니다. 다음은 이러한 리포지토리에 대한 액세스를 거부하는 정책의 예입니다.

{ 
    "Statement": [ 
      { 
        "Sid": "AmazonLinuxAMIRepositoryAccess",
        "Principal": "*",
        "Action": [ 
            "s3:GetObject" 
        ],
        "Effect": "Deny",
        "Resource": [
            "arn:aws:s3:::packages.*.amazonaws.com/*",
            "arn:aws:s3:::repo.*.amazonaws.com/*"
        ] 
      } 
    ] 
} 

{ 
    "Statement": [ 
        { "Sid": "AmazonLinux2AMIRepositoryAccess",
          "Principal": "*",
          "Action": [ 
              "s3:GetObject" 
              ],
          "Effect": "Deny",
          "Resource": [
              "arn:aws:s3:::amazonlinux.*.amazonaws.com/*" 
              ] 
         } 
    ] 
} 

라우팅 테이블 구성

엔드포인트 라우팅 테이블에 기본 DNS 설정을 사용하여 표준 Amazon S3 URL(예: http://s3-aws-region.amazonaws.com/MyBucket)을 확인합니다. 기본 DNS 설정을 사용하지 않는 경우 엔드포인트 라우팅 테이블을 구성하여 처리 작업에서 데이터 위치를 지정하는 데 사용하는 URL이 해결되는지 확인합니다. VPC 엔드포인트 라우팅 테이블에 대한 자세한 내용은 Amazon VPC 사용 설명서의 게이트웨이 엔드포인트 라우팅을 참조하세요.

VPC 보안 그룹 구성

분산 처리에서는 동일한 처리 작업에서 서로 다른 컨테이너 간 통신을 허용해야 합니다. 이렇게 하려면 동일한 보안 그룹의 구성원 간 인바운드 연결을 허용하는 보안 그룹 규칙을 구성합니다. 자세한 내용은 보안 그룹 규칙을 참조하세요.

VPC 외부 리소스에 연결

모델을 실행 중인 VPC 외부의 리소스에 모델을 연결하는 경우 다음 중 하나를 수행하세요.

• 다른 AWS 서비스에 연결 — 모델에서 인터페이스 Amazon VPC 엔드포인트를 지원하는 AWS 서비스에 액세스해야 하는 경우, 해당 서비스에 연결할 엔드포인트를 생성하십시오. 인터페이스 엔드포인트를 지원하는 서비스 목록은 사용 설명서의 통합AWS 서비스를 참조하십시오. AWS PrivateLink AWS PrivateLink 인터페이스 VPC 엔드포인트 생성에 대한 자세한 내용은 사용 설명서의 인터페이스 VPC 엔드포인트를 사용한 AWS 서비스 액세스를 참조하십시오. AWS PrivateLink

• 인터넷을 통해 리소스에 연결 - 모델이 인터넷에 액세스할 수 있는 서브넷이 없는 Amazon VPC의 인스턴스에서 실행 중인 경우 모델은 인터넷의 리소스에 액세스할 수 없습니다. 모델이 인터페이스 VPC 엔드포인트를 지원하지 않는 AWS 서비스나 외부 리소스에 액세스해야 하는 경우, 퍼블릭 서브넷의 AWS퍼블릭 NAT 게이트웨이를 사용하여 인터넷에 액세스할 수 있는 프라이빗 서브넷에서 모델을 실행해야 합니다. 모델을 프라이빗 서브넷에서 실행한 후에는 프라이빗 서브넷에서 퍼블릭 서브넷의 퍼블릭 NAT 게이트웨이로의 아웃바운드 연결을 허용하도록 보안 그룹과 네트워크 액세스 제어 목록(NACL)을 구성합니다. 자세한 정보는 Amazon VPC 사용 설명서의 NAT 게이트웨이를 참조하세요.

CloudWatch 로그 및 지표로 Amazon SageMaker 프로세싱 작업 모니터링

Amazon은 교육 작업을 모니터링하기 위한 Amazon CloudWatch 로그 및 지표를 SageMaker 제공합니다. CloudWatch CPU, GPU, 메모리, GPU 메모리, 디스크 지표, 이벤트 로깅을 제공합니다. Amazon SageMaker 처리 작업 모니터링에 대한 자세한 내용은 SageMaker 아마존과 함께 아마존을 모니터링하세요 CloudWatch 및 을 참조하십시오SageMaker 작업 및 엔드포인트 지표.