Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktivieren Sie Lake Formation mit Feature-Gruppen

Wenn Sie AWS Lake Formation für eine Feature-Gruppe im Amazon SageMaker Feature Store aktivieren, können Sie die Sicherheit der Feature-Daten in Ihrem Offline-Shop auf Spalten-, Zeilen- und Zellenebene erzwingen. Anstatt den Zugriff über individuelle IAM-Richtlinien auf Amazon S3 und AWS Glue Ressourcen zu verwalten, verwenden Sie das Lake Formation-Modell zum Gewähren und Widerrufen von Berechtigungen, um zu steuern, welche Benutzer und Rollen auf bestimmte Funktionen und Datensätze zugreifen können. Weitere Informationen zu Lake Formation finden Sie im AWS Lake Formation Developer Guide.

Voraussetzungen

Bevor Sie Lake Formation aktivieren, stellen Sie sicher, dass Sie über Folgendes verfügen:

Die wichtigsten Konzepte

Die folgenden Konzepte sind wichtig, um zu verstehen, wie Lake Formation mit Feature Store funktioniert.

Lake Formation-Genehmigungsmodell im Vergleich zum IAM-only Modell

Standardmäßig wird der Zugriff auf AWS Glue Data Catalog Tabellen, einschließlich der vom Feature Store erstellten, ausschließlich über IAM-Richtlinien gesteuert. Wenn Sie Lake Formation aktivieren, sind für den Zugriff sowohl IAM-Berechtigungen als auch Lake Formation-Berechtigungen erforderlich. Lake Formation verwendet ein Modell zum Gewähren und Widerrufen, bei dem Sie DESCRIBE IAM-Prinzipalen explizit Berechtigungen wie SELECT oder für bestimmte Datenbanken, Tabellen oder Spalten gewähren.

Hybrider Zugriffsmodus

Wenn Sie Lake Formation aktivieren, wählen Sie, ob Sie den Hybrid-Zugriffsmodus oder den Formation-only Lake-Modus verwenden möchten:

S3-Ablehnungsrichtlinie

Selbst nachdem Sie Lake Formation in der AWS Glue Data Catalog Tabelle aktiviert haben, können Benutzer mit direktem Amazon S3-Zugriff (über IAM-Richtlinien) Lake Formation umgehen, indem sie die zugrunde liegenden Amazon S3-Objekte direkt lesen. Um diese Lücke zu schließen, wenden Sie eine Amazon S3-Bucket-Richtlinie an, die allen Principals mit Ausnahme der Lake Formation-Servicerolle und der Feature Store-Ausführungsrolle den direkten Zugriff auf das Offline-Store-Präfix verweigert.

Konfigurationsreferenz

Verwenden Sie die LakeFormationConfig Klasse, um Lake Formation zu konfigurieren. Sie übergeben diese Konfiguration an, FeatureGroupManager.create() wenn Sie eine neue Objektgruppe erstellen, oder verwenden Sie die einzelnen Parameter direkt enable_lake_formation() für bestehende Objektgruppen.

Grundlegendes zu acknowledge_risk

Der acknowledge_risk Parameter ist ein Schutztor. Indem Sie ihn auf setzenTrue, bestätigen Sie Folgendes:

Funktionsweise

Wenn Sie Lake Formation aktivieren, führt das SDK ein dreiphasiges Setup durch:

Nach Abschluss aller Phasen protokolliert das SDK eine empfohlene S3-Bucket-Ablehnungsrichtlinie. Überprüfen Sie diese Richtlinie und wenden Sie sie an, um direkten Amazon S3-Zugriff zu verhindern, der die Zugriffskontrolle von Lake Formation umgeht.

Verwendungsbeispiele

Erstellen Sie eine neue Feature-Gruppe mit Lake Formation-Zugriffskontrolle

Im folgenden Beispiel wird eine neue Objektgruppe mit einem Offline-Speicher erstellt und die Zugriffskontrolle für Lake Formation in einem einzigen Vorgang aktiviert.

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

Aktivieren Sie Lake Formation für eine vorhandene Feature-Gruppe

Im folgenden Beispiel wird Lake Formation für eine bereits vorhandene Feature-Gruppe aktiviert.

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

Verwenden Sie Formation-enabled Lake-Feature-Gruppen mit SageMaker KI-Aufträgen

Sie können von SageMaker AI-Trainings- und Verarbeitungsjobs aus auf Formation-enabled Lake-Feature-Gruppen zugreifen. Um Formation-enabled Lake-Feature-Daten zu lesen, können Sie die Daten entweder über Athena abfragen oder die Lake GetTemporaryGlueTableCredentials Formation-API verwenden, um temporäre Amazon S3-Anmeldeinformationen für die Tabelle zu senden. AWS Glue Weitere Informationen zur Konfiguration von Lake Formation-Berechtigungen für Rechenrollen finden Sie unter Referenz zu den Lake Formation-Berechtigungen in der Lake Formation-Dokumentation.

Cross-account Zugriff

Lake Formation unterstützt die gemeinsame Nutzung von Feature-Gruppendaten AWS-Konten. Wenn das Producer-Konto Lake Formation für eine Feature-Gruppe aktiviert, kann es mithilfe der benannten Ressourcenmethode oder der auf dem Lake Formation-Tag basierenden Zugriffskontrolle () LF-TBAC kontoübergreifenden Zugriff auf Verbraucherkonten gewähren.

Cross-account Für die gemeinsame Nutzung ist die folgende Konfiguration erforderlich:

Voraussetzungen, schrittweise Anleitungen und bewährte Methoden für kontoübergreifendes Teilen finden Sie in den folgenden Themen im AWS Lake Formation Developer Guide:

Gewähren Sie nach der Einrichtung fein abgestufte Zugriffsrechte

Nachdem Sie Lake Formation aktiviert haben, kann der Lake Formation-Administrator mithilfe der Lake Formation-Konsole, API oder CLI anderen IAM-Prinzipalen detaillierte Berechtigungen gewähren. Lake Formation unterstützt Zugriffskontrolle auf Spalten-, Zeilen- und Zellenebene.

Anweisungen zum Erteilen und Verwalten von Lake Formation-Berechtigungen finden Sie in den folgenden Themen im Lake Formation Developer Guide: AWS