Conectar uma instância de caderno em uma VPC aos recursos externos

O tópico a seguir fornece informações sobre como conectar sua instância de caderno em uma VPC a recursos externos.

Comunicação padrão com a internet

Quando seu notebook permite acesso direto à Internet, SageMaker fornece uma interface de rede que permite que o notebook se comunique com a Internet por meio de uma VPC gerenciada por. SageMaker O tráfego dentro do CIDR da VPC passará por meio da interface de rede elástica criada em sua VPC. Todo o outro tráfego passa pela interface de rede criada por SageMaker, que é essencialmente através da Internet pública. O tráfego para os endpoints da VPC do gateway, como o Amazon S3 e o DynamoDB, passará pela Internet pública, enquanto o tráfego para os endpoints de interface da VPC ainda passará pela sua VPC. Se você quiser usar os endpoints da VPC do gateway, desabilite o acesso direto à Internet.

Comunicação da VPC com a internet

Para desativar o acesso direto à Internet, você pode especificar uma VPC para sua instância de caderno. Ao fazer isso, você SageMaker evita fornecer acesso à Internet à sua instância do notebook. Como resultado, a instância de caderno não poderá treinar ou hospedar modelos, a menos que sua VPC tenha um endpoint de interface (AWS PrivateLink) ou um gateway NAT, e seus grupos de segurança permitam conexões de saída.

Para obter informações sobre como criar um endpoint de interface VPC AWS PrivateLink para usar em sua instância de notebook, consulte. Conectar-se a uma instância de caderno por meio de um endpoint de interface VPC Para obter informações sobre como configurar um gateway NAT para sua VPC, consulte VPC com sub-redes pública e privada (NAT) no Guia do usuário da Amazon Virtual Private Cloud. Para obter informações sobre security groups, consulte Security groups para sua VPC. Para obter mais informações sobre configurações de rede em cada modo de rede e como configurar a rede no local, consulte Entendendo as configurações de rede de instâncias de SageMaker notebooks e as opções avançadas de roteamento da Amazon.

Instâncias de segurança e caderno compartilhadas

Uma instância de SageMaker notebook foi projetada para funcionar melhor para um usuário individual. Com ela, cientistas de dados e outros usuários potencializam o gerenciamento de seus ambientes de desenvolvimento.

Um usuário de instância de bloco de anotações tem acesso raiz para instalar pacotes e outros softwares pertinentes. Recomendamos atenção quando você for permitir que outras pessoas acessem as instâncias de bloco de anotações anexadas a uma VPC que contém informações confidenciais. Por exemplo, você pode conceder a um usuário acesso a uma instância de caderno com uma política do IAM, como mostrado no exemplo a seguir:

{
  "Version": "2012-10-17",
  "Statement": [
   {
      "Effect": "Allow",
      "Action": "sagemaker:CreatePresignedNotebookInstanceUrl",
      "Resource": "arn:aws:sagemaker:region:account-id:notebook-instance/myNotebookInstance"
   }
  ]
}