Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Steuern Sie den Root-Zugriff auf eine Notebook-Instance SageMaker
Wenn Sie eine Notebook-Instance erstellen, verfügen Benutzer, die sich bei dieser Notebook-Instance anmelden, standardmäßig über einen Root-Zugriff. Die Datenwissenschaft ist ein iterativer Prozess, bei dem die Datenwissenschaftler möglicherweise verschiedene Softwaretools und -pakete testen und verwenden müssen, sodass viele Benutzer von Notebook-Instances einen Root-Zugriff benötigen, um diese Tools und Pakete installieren zu können. Da Benutzer mit Root-Zugriff über Administratorrechte verfügen, können Benutzer bei aktiviertem Root-Zugriff auf alle Dateien einer Notebook-Instance zugreifen und diese bearbeiten.
Wenn Sie nicht möchten, dass Benutzer Root-Zugriff auf eine Notebook-Instance haben, wenn Sie – CreateNotebookInstanceoder UpdateNotebookInstance-Operationen aufrufen, legen Sie das Feld RootAccess auf Disabled fest. Sie können den Root-Zugriff für Benutzer auch deaktivieren, wenn Sie eine Notebook-Instance in der Amazon SageMaker AI-Konsole erstellen oder aktualisieren. Weitere Informationen finden Sie unter Erstellen Sie eine Amazon SageMaker Notebook-Instance für das Tutorial.
Anmerkung
Bei Lebenszykluskonfigurationen ist ein Root-Zugriff erforderlich, um eine Notebook-Instance einrichten zu können. Aus diesem Grund werden Lebenszykluskonfigurationen, die einer Notebook-Instance zugeordnet sind, immer mit Root-Zugriff ausgeführt, selbst wenn Sie den Root-Zugriff für Benutzer deaktivieren.
Anmerkung
Aus Sicherheitsgründen wird Rootless Docker auf Notebook-Instances mit deaktivierter Root-Funktion statt auf regulären Docker-Instances installiert. Weitere Informationen finden Sie unter Den Docker-Daemon als Nicht-Root-Benutzer ausführen (Rootless-Modus)
Sicherheitsüberlegungen
Lifecycle-Konfigurationsskripts werden mit Root-Zugriff ausgeführt und erben die vollen Rechte der IAM-Ausführungsrolle der Notebook-Instance. Jeder (einschließlich Administratoren), der berechtigt ist, Lifecycle-Konfigurationen zu erstellen oder zu ändern und Notebook-Instances zu verwalten, kann Code mit den Anmeldeinformationen der Ausführungsrolle ausführen. Beachten Sie daher bitte die folgenden Best Practices.
Bewährte Methoden:
-
Administratorzugriff einschränken: Gewähren Sie Berechtigungen zur Konfiguration des Lebenszyklus nur vertrauenswürdigen Administratoren, die die Auswirkungen auf die Sicherheit verstehen.
-
Wenden Sie die Prinzipien der geringsten Rechte an: Definieren Sie Rollen zur Ausführung von Notebook-Instances mit nur den Mindestberechtigungen, die für legitime Workloads erforderlich sind.
-
Überwachung aktivieren: Überprüfen Sie die CloudWatch Protokolle regelmäßig auf Ausführungen der Lifecycle-Konfiguration in der Protokollgruppe
/aws/sagemaker/NotebookInstances, um unerwartete Aktivitäten zu erkennen. -
Implementieren Sie Änderungskontrollen: Richten Sie Genehmigungsverfahren für Änderungen der Lebenszykluskonfiguration in Produktionsumgebungen ein.
