Dê à Amazon SageMaker Clarify Jobs acesso a recursos em sua Amazon VPC

Para controlar o acesso aos seus dados e aos trabalhos do SageMaker Clarify, recomendamos que você crie uma Amazon privada VPC e a configure para que seus trabalhos não sejam acessíveis pela Internet pública. Para obter informações sobre como criar e configurar uma Amazon VPC para processar trabalhos, consulte Conceder acesso aos trabalhos de SageMaker processamento aos recursos na sua Amazon VPC.

Este documento explica como adicionar VPC configurações adicionais da Amazon que atendam aos requisitos dos trabalhos do SageMaker Clarify.

Configurar um SageMaker Clarify Job para Amazon VPC Access

Você precisa especificar sub-redes e grupos de segurança ao configurar seus trabalhos privados do Amazon VPC for SageMaker Clarify e permitir que o trabalho obtenha inferências do SageMaker modelo ao calcular métricas de viés pós-treinamento e contribuições de recursos que ajudem a explicar as previsões do modelo.

Tópicos

• SageMaker Clarify Job Amazon: VPC sub-redes e grupos de segurança
• Configurar um modelo Amazon VPC para inferência

SageMaker Clarify Job Amazon: VPC sub-redes e grupos de segurança

Sub-redes e grupos de segurança em sua Amazon privada VPC podem ser atribuídos a um trabalho do SageMaker Clarify de várias maneiras, dependendo de como você cria o trabalho.

• SageMaker console: forneça essas informações ao criar o trabalho no SageMakerPainel. No menu Processamento, escolha Trabalhos de processamento e, em seguida, escolha Criar trabalho de processamento. Selecione a VPCopção no painel Rede e forneça as sub-redes e os grupos de segurança usando as listas suspensas. Certifique-se de que a opção de isolamento de rede fornecida neste painel esteja desativada.

• SageMaker API: use o parâmetro de NetworkConfig.VpcConfig solicitação do CreateProcessingJobAPI, conforme mostrado no exemplo a seguir:

  "NetworkConfig": {
      "VpcConfig": {
          "Subnets": [
              "subnet-0123456789abcdef0",
              "subnet-0123456789abcdef1",
              "subnet-0123456789abcdef2"
          ],
          "SecurityGroupIds": [
              "sg-0123456789abcdef0"
          ]
      }
  }

• SageMaker Python SDK: use o NetworkConfig parâmetro de SageMakerClarifyProcessorAPIor ProcessorAPI, conforme mostrado no exemplo a seguir:

  from sagemaker.network import NetworkConfig
  network_config = NetworkConfig(
      subnets=[
          "subnet-0123456789abcdef0",
          "subnet-0123456789abcdef1",
          "subnet-0123456789abcdef2",
      ],
      security_group_ids=[
          "sg-0123456789abcdef0",
      ],
  )

SageMaker usa as informações para criar interfaces de rede e anexá-las à tarefa do SageMaker Clarify. As interfaces de rede fornecem uma tarefa do SageMaker Clarify com uma conexão de rede dentro da Amazon VPC que não está conectada à Internet pública. Eles também permitem que o trabalho SageMaker Clarify se conecte a recursos em sua Amazon privadaVPC.

nota

A opção de isolamento de rede da tarefa do SageMaker Clarify deve ser desativada (por padrão, a opção está desativada) para que a tarefa do SageMaker Clarify possa se comunicar com o endpoint sombra.

Configurar um modelo Amazon VPC para inferência

Para calcular as métricas e a explicabilidade do viés pós-treinamento, o trabalho do SageMaker Clarify precisa obter inferências do SageMaker modelo especificado pelo model_name parâmetro da configuração de análise do trabalho de processamento do Clarify. SageMaker Como alternativa, se você usar o SageMakerClarifyProcessor API no SageMaker PythonSDK, o trabalho precisará obter o model_name especificado pela ModelConfigclasse. Para fazer isso, o trabalho SageMaker Clarify cria um endpoint efêmero com o modelo, conhecido como endpoint de sombra, e depois aplica a VPC configuração do modelo da Amazon ao endpoint de sombra.

Para especificar sub-redes e grupos de segurança em sua Amazon privada VPC para o SageMaker modelo, use o parâmetro de VpcConfig solicitação do CreateModelAPIou forneça essas informações ao criar o modelo usando o SageMaker painel no console. Veja a seguir um exemplo do parâmetro VpcConfig incluído na sua chamada para CreateModel:

"VpcConfig": {
    "Subnets": [
        "subnet-0123456789abcdef0",
        "subnet-0123456789abcdef1",
        "subnet-0123456789abcdef2"
    ],
    "SecurityGroupIds": [
        "sg-0123456789abcdef0"
    ]
}

Você pode especificar o número de instâncias do endpoint paralelo a serem iniciadas com o initial_instance_count parâmetro da configuração de análise para a tarefa de processamento do SageMaker Clarify. Como alternativa, se você usar o SageMakerClarifyProcessor API no SageMaker PythonSDK, o trabalho precisará obter o instance_count especificado pela ModelConfigclasse.

nota

Mesmo que você solicite apenas uma instância ao criar o endpoint paralelo, precisará de pelo menos duas sub-redes no modelo em zonas de ModelConfigdisponibilidade distintas. Caso contrário, a criação de endpoints de sombra falhará com o erro a seguir:

ClientError: Erro ao hospedar o endpoint sagemaker-clarify-endpoint -XXX: Falha. Motivo: Não é possível localizar pelo menos duas zonas de disponibilidade com o tipo de instância solicitado YYY que se sobreponham às SageMaker sub-redes.

Se seu modelo exige arquivos de modelo no Amazon S3, então o modelo Amazon VPC precisa ter um endpoint Amazon VPC S3. Para obter mais informações sobre como criar e configurar uma Amazon VPC para SageMaker modelos, consulteDê aos endpoints SageMaker hospedados acesso aos recursos em sua Amazon VPC.

Configure suas vagas privadas na Amazon VPC for SageMaker Clarify

Em geral, você pode seguir as etapas em Configure Your Private VPC for SageMaker Processing para configurar suas tarefas privadas do Amazon VPC for SageMaker Clarify. Aqui estão alguns destaques e requisitos especiais para trabalhos na SageMaker Clarify.

Tópicos

• Conecte-se a recursos fora da sua Amazon VPC
• Configurar o grupo VPC de segurança da Amazon

Conecte-se a recursos fora da sua Amazon VPC

Se você configurar sua Amazon VPC para que ela não tenha acesso público à Internet, alguma configuração adicional será necessária para conceder à SageMaker Clarify jobs acesso a recursos e serviços fora da sua AmazonVPC. Por exemplo, um VPC endpoint do Amazon S3 é necessário porque um trabalho do SageMaker Clarify precisa carregar um conjunto de dados de um bucket do S3 e salvar os resultados da análise em um bucket do S3. Para obter mais informações, consulte Criar um VPC endpoint do Amazon S3 para ver o guia de criação. Além disso, se uma tarefa do SageMaker Clarify precisar obter inferências do endpoint sombra, ela precisará chamar várias outras AWS serviços.

• Crie um VPC endpoint SageMaker API de serviço da Amazon: o trabalho do SageMaker Clarify precisa chamar o SageMaker API serviço da Amazon para manipular o endpoint paralelo ou para descrever um SageMaker modelo para validação da Amazon. VPC Você pode seguir as orientações fornecidas na seção Protegendo todas as SageMaker API chamadas da Amazon com AWS PrivateLinkblog para criar um SageMaker API VPC endpoint da Amazon que permita que o trabalho do SageMaker Clarify faça as chamadas de serviço. Observe que o nome do serviço da Amazon SageMaker API écom.amazonaws.region.sagemaker.api, onde region é o nome da região em que sua Amazon VPC reside.

• Crie um Amazon SageMaker Runtime VPC Endpoint: o trabalho do SageMaker Clarify precisa chamar o serviço de SageMaker tempo de execução da Amazon, que encaminha as invocações para o endpoint paralelo. As etapas de configuração são semelhantes às do SageMaker API serviço Amazon. Observe que o nome do serviço Amazon SageMaker Runtime écom.amazonaws.region.sagemaker.runtime, onde region é o nome da região em que sua Amazon VPC reside.

Configurar o grupo VPC de segurança da Amazon

SageMaker Os trabalhos do Clarify oferecem suporte ao processamento distribuído quando duas ou mais instâncias de processamento são especificadas de uma das seguintes formas:

• SageMaker console: a contagem de instâncias é especificada na parte Configuração de recursos do painel Configurações de trabalho na página Criar tarefa de processamento.

• SageMaker API: o InstanceCount é especificado quando você cria o trabalho com CreateProcessingJobAPIo.

• SageMaker Python SDK: O instance_count é especificado ao usar o SageMakerClarifyProcessorAPIou o Processador. API

No processamento distribuído, é necessário permitir a comunicação entre as diferentes instâncias no mesmo trabalho de processamento. Para fazer isso, configure uma regra para seu grupo de segurança que permita conexões de entrada entre membros do mesmo grupo de segurança. Para mais informações, consulte Regras do grupo de segurança.