Registrando chamadas da API Amazon SageMaker AI usando AWS CloudTrail

O Amazon SageMaker AI é integrado com AWS CloudTrail, um serviço que fornece um registro das ações realizadas por um usuário, função ou um AWS service (Serviço da AWS). CloudTrail captura todas as chamadas de API para a Amazon SageMaker AI como eventos. As chamadas capturadas incluem chamadas do console do Amazon SageMaker AI e chamadas de código para as operações da API do Amazon SageMaker AI. Usando as informações coletadas por CloudTrail, você pode determinar a solicitação que foi feita à Amazon SageMaker AI, o endereço IP a partir do qual a solicitação foi feita, quando foi feita e detalhes adicionais.

Cada entrada de log ou evento contém informações sobre quem gerou a solicitação. As informações de identidade ajudam a determinar o seguinte:

• Se a solicitação foi feita com credenciais de usuário raiz ou credenciais de usuário.

• Se a solicitação foi feita em nome de um usuário do Centro de Identidade do IAM.

• Se a solicitação foi feita com credenciais de segurança temporárias de um perfil ou de um usuário federado.

• Se a solicitação foi feita por outro AWS service (Serviço da AWS).

CloudTrail está ativo Conta da AWS quando você cria a conta e você tem acesso automático ao histórico de CloudTrail eventos. O histórico de CloudTrail eventos fornece um registro visível, pesquisável, baixável e imutável dos últimos 90 dias de eventos de gerenciamento registrados em um. Região da AWS Para obter mais informações, consulte Trabalhando com o histórico de CloudTrail eventos no Guia AWS CloudTrail do usuário. Não há CloudTrail cobrança pela visualização do histórico de eventos.

Para um registro contínuo dos eventos dos Conta da AWS últimos 90 dias, crie uma trilha ou um armazenamento de dados de eventos do CloudTrailLake.

CloudTrail trilhas

Uma trilha permite CloudTrail entregar arquivos de log para um bucket do Amazon S3. Todas as trilhas criadas usando o AWS Management Console são multirregionais. Só é possível criar uma trilha de região única ou de várias regiões usando a AWS CLI. É recomendável criar uma trilha multirregional porque você captura todas as atividades Regiões da AWS em sua conta. Ao criar uma trilha de região única, é possível visualizar somente os eventos registrados na Região da AWS da trilha. Para obter mais informações sobre trilhas, consulte Criar uma trilha para a Conta da AWS e Criar uma trilha para uma organização no Guia do usuário do AWS CloudTrail .

Você pode entregar uma cópia dos seus eventos de gerenciamento contínuos para o bucket do Amazon S3 sem nenhum custo CloudTrail criando uma trilha. No entanto, há cobranças de armazenamento do Amazon S3. Para obter mais informações sobre CloudTrail preços, consulte AWS CloudTrail Preços. Para receber informações sobre a definição de preços do Amazon S3, consulte Definição de preços do Amazon S3.

CloudTrail Armazenamentos de dados de eventos em Lake

CloudTrail O Lake permite que você execute consultas baseadas em SQL em seus eventos. CloudTrail O Lake converte eventos existentes no formato JSON baseado em linhas para o formato Apache ORC. O ORC é um formato colunar de armazenamento otimizado para recuperação rápida de dados. Os eventos são agregados em armazenamentos de dados de eventos, que são coleções imutáveis de eventos baseados nos critérios selecionados com a aplicação de seletores de eventos avançados. Os seletores que aplicados a um armazenamento de dados de eventos controlam quais eventos persistem e estão disponíveis para consulta. Para obter mais informações sobre o CloudTrail Lake, consulte Trabalhando com o AWS CloudTrail Lake no Guia AWS CloudTrail do Usuário.

CloudTrail Os armazenamentos e consultas de dados de eventos em Lake incorrem em custos. Ao criar um armazenamento de dados de eventos, você escolhe a opção de preço que deseja usar para ele. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e o período de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações sobre CloudTrail preços, consulte AWS CloudTrail Preços.

Para fins de segurança, você pode monitorar CloudTrail os registros para identificar atividades anormais do usuário. Para obter mais informações sobre monitoramento de logs, consulte Registro e Monitoramento.

Eventos de dados da Amazon SageMaker AI em CloudTrail

Os Eventos de dados fornecem informações sobre as operações de recursos realizadas em um recurso (por exemplo, leitura ou gravação em um objeto do Amazon S3). Também são conhecidas como operações de plano de dados. Eventos de dados geralmente são atividades de alto volume. Por padrão, CloudTrail não registra eventos de dados. O histórico de CloudTrail eventos não registra eventos de dados.

Há cobranças adicionais para eventos de dados. Para obter mais informações sobre CloudTrail preços, consulte AWS CloudTrail Preços.

Você pode registrar eventos de dados para vários tipos de recursos de SageMaker IA da Amazon usando o CloudTrail console ou AWS CLI as operações de CloudTrail API. Para obter mais informações sobre como registrar eventos de dados em log, consulte Registrar eventos de dados com o AWS Management Console e Registrar eventos de dados com a AWS Command Line Interface no Guia do usuário do AWS CloudTrail .

A tabela a seguir lista os tipos de recursos de SageMaker IA da Amazon para os quais você pode registrar eventos de dados. A coluna Tipo de recurso (console) mostra o valor a ser escolhido na lista Tipo de recurso no CloudTrail console. A coluna de valor resources.type mostra o resources.type valor, que você especificaria ao configurar seletores de eventos avançados usando o ou. AWS CLI CloudTrail APIs A CloudTrail coluna Dados APIs registrados em mostra as chamadas de API registradas CloudTrail para o tipo de recurso.

Tipo de recurso (console)	valor resources.type	Dados APIs registrados em CloudTrail
SageMaker endpoint	AWS::SageMaker::Endpoint	InvokeEndpoint InvokeEndpointAsync InvokeEndpointWithResponseStream

nota

As chamadas de InvokeEndpointAsync API InvokeEndpoint e não registram os parâmetros da solicitação.

É possível configurar seletores de eventos avançados para filtrar os campos eventName, readOnly e resources.ARN para registrar em log somente os eventos que são importantes para você. Para obter mais informações sobre esses campos, consulte AdvancedFieldSelector, na Referência de APIs do AWS CloudTrail .

O exemplo a seguir mostra como registrar eventos de dados para um SageMaker endpoint da Amazon. Neste exemplo, você usa o put-event-selectors AWS CLI comando para adicionar seletores de eventos avançados que capturam eventos de dados do seu endpoint. Você deve ter uma CloudTrail trilha existente. Antes de executar o comando, você também pode salvar o objeto JSON dos seletores de eventos avançados em um arquivo como o seguinte:

[
  {
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": ["Data"]
      },
      {
        "Field": "resources.ARN",
        "Equals": ["arn:aws:sagemaker:us-east-1:111122223333:endpoint/your-inference-endpoint-arn"]
      },
      {
        "Field": "resources.type",
        "Equals": ["AWS::SageMaker::Endpoint"]
      }
    ]
  }
]

Em seguida, você pode executar o comando a seguir para começar a registrar eventos de dados do endpoint.

aws cloudtrail put-event-selectors
      --trail-name your-trail-name
      --advanced-event-selectors=file://advanced-event-selectors.json # specify your previously created JSON file

Eventos de gerenciamento de SageMaker IA da Amazon em CloudTrail

Os eventos de gerenciamento fornecem informações sobre as operações de gerenciamento que são realizadas nos recursos do seu Conta da AWS. Também são conhecidas como operações de ambiente de gerenciamento. Por padrão, CloudTrail registra eventos de gerenciamento.

O Amazon SageMaker AI registra todas as operações do plano de controle do Amazon SageMaker AI como eventos de gerenciamento. Para obter uma lista das operações do plano de controle da Amazon SageMaker AI nas quais a Amazon SageMaker AI se conecta CloudTrail, consulte a Referência da API de SageMaker IA da Amazon.

Operações realizadas pelo ajuste automático de modelo

SageMaker A IA é compatível com o registro de eventos de serviço não relacionados à API em seus arquivos de CloudTrail registro para trabalhos de ajuste automático de modelos. Esses eventos estão relacionados aos seus trabalhos de ajuste, mas não são o resultado direto de uma solicitação do cliente à AWS API pública. Por exemplo, quando você cria um trabalho de ajuste de hiperparâmetros chamando CreateHyperParameterTuningJob, a SageMaker IA cria trabalhos de treinamento para avaliar várias combinações de hiperparâmetros e encontrar o melhor resultado. Da mesma forma, quando você liga StopHyperParameterTuningJobpara interromper um trabalho de ajuste de hiperparâmetros, a SageMaker IA pode interromper qualquer um dos trabalhos de treinamento em execução associados. Eventos não relacionados à API para seus trabalhos de ajuste são registrados para ajudar você CloudTrail a melhorar a governança, a conformidade e a auditoria operacional e de risco de sua conta. AWS

As entradas de log resultantes de eventos de serviço não relacionados a API têm um eventType de AwsServiceEvent em vez de AwsApiCall.

Exemplos de eventos de SageMaker IA da Amazon

Um evento representa uma única solicitação de qualquer fonte e inclui informações sobre a operação de API solicitada, a data e a hora da operação, os parâmetros da solicitação e assim por diante. CloudTrail os arquivos de log não são um rastreamento de pilha ordenado das chamadas públicas de API, portanto, os eventos não aparecem em nenhuma ordem específica.

O exemplo a seguir mostra um CloudTrail evento que demonstra a CreateEndpoint operação.

{
    "eventVersion":"1.05",
    "userIdentity": {
        "type":"IAMUser",
        "principalId":"AIXDAYQEXAMPLEUMLYNGL",
        "arn":"arn:aws:iam::123456789012:user/intern",
        "accountId":"123456789012",
        "accessKeyId":"ASXIAGXEXAMPLEQULKNXV",
        "userName":"intern"
    },
    "eventTime":"2018-01-02T13:39:06Z",
    "eventSource":"sagemaker.amazonaws.com",
    "eventName":"CreateEndpoint",
    "awsRegion":"us-west-2",
    "sourceIPAddress":"127.0.0.1",
    "userAgent":"USER_AGENT",
    "requestParameters": {
        "endpointName":"ExampleEndpoint",
        "endpointConfigName":"ExampleEndpointConfig"
    },
    "responseElements": {
        "endpointArn":"arn:aws:sagemaker:us-west-2:123456789012:endpoint/exampleendpoint"
    },
    "requestID":"6b1b42b9-EXAMPLE",
    "eventID":"a6f85b21-EXAMPLE",
    "eventType":"AwsApiCall",
    "recipientAccountId":"444455556666"
}

O exemplo a seguir mostra um CloudTrail evento que demonstra a CreateModel operação.

{
    "eventVersion":"1.05",
    "userIdentity": {
        "type":"IAMUser",
        "principalId":"AIXDAYQEXAMPLEUMLYNGL",
        "arn":"arn:aws:iam::123456789012:user/intern",
        "accountId":"123456789012",
        "accessKeyId":"ASXIAGXEXAMPLEQULKNXV",
        "userName":"intern"
    },
    "eventTime":"2018-01-02T15:23:46Z",
    "eventSource":"sagemaker.amazonaws.com",
    "eventName":"CreateModel",
    "awsRegion":"us-west-2",
    "sourceIPAddress":"127.0.0.1",
    "userAgent":"USER_AGENT",
    "requestParameters": {
        "modelName":"ExampleModel",
        "primaryContainer": {
            "image":"174872318107.dkr.ecr.us-west-2.amazonaws.com/kmeans:latest"
        },
        "executionRoleArn":"arn:aws:iam::123456789012:role/EXAMPLEARN"
    },
    "responseElements": {
        "modelArn":"arn:aws:sagemaker:us-west-2:123456789012:model/barkinghappy2018-01-02t15-23-32-275z-ivrdog"
    },
    "requestID":"417b8dab-EXAMPLE",
    "eventID":"0f2b3e81-EXAMPLE",
    "eventType":"AwsApiCall",
    "recipientAccountId":"444455556666"
}

Para obter informações sobre o conteúdo do CloudTrail registro, consulte o conteúdo do CloudTrail registro no Guia AWS CloudTrail do usuário.