Cifrado de sus datos de SageMaker Canvas con AWS KMS

Es posible que tenga datos que desee cifrar mientras usa Amazon SageMaker Canvas, como la información privada de su empresa o los datos de sus clientes. SageMaker Canvas utiliza AWS Key Management Service para proteger sus datos. AWS KMS es un servicio que puede utilizar para crear y administrar claves criptográficas para cifrar sus datos. Para obtener más información acerca de AWS KMS, consulte AWS Key Management Service en la Guía para desarrolladores de AWS KMS.

Amazon SageMaker Canvas le ofrece varias opciones para cifrar los datos. SageMaker Canvas proporciona un cifrado predeterminado en la aplicación para tareas como la creación del modelo y la generación de información. También puede optar por cifrar los datos almacenados en Amazon S3 para proteger sus datos en reposo. SageMaker Canvas admite la importación de conjuntos de datos cifrados, por lo que puede establecer un flujo de trabajo cifrado. En las siguientes secciones se describe cómo puede utilizar el cifrado de AWS KMS para proteger sus datos al crear modelos con SageMaker Canvas.

Cifrado de sus datos de SageMaker Canvas

Con SageMaker Canvas, puede utilizar dos claves de cifrado de AWS KMS diferentes para cifrar sus datos en SageMaker Canvas, que puede especificar al configurar su dominio utilizando la configuración estándar de dominio. Estas claves se especifican en los siguientes pasos de configuración de dominio:

Las claves anteriores pueden ser claves de KMS iguales o diferentes.

Requisitos previos

Para usar su propia clave KMS para cualquiera de los fines descritos anteriormente, primero debe conceder permiso al rol de IAM de su usuario para usar la clave. A continuación, puede especificar la clave KMS al configurar su dominio.

La forma más sencilla de conceder permiso a su rol para usar la clave es modificar la política de claves. Utilice el siguiente procedimiento para conceder a su rol los permisos necesarios.

El método menos preferido es modificar el rol de IAM del usuario para concederle permisos de uso o administración de la clave KMS. Si utiliza este método, la política de claves de KMS también debe permitir la administración del acceso a través de IAM. Para obtener información sobre cómo conceder permisos a una clave de KMS mediante el rol de IAM del usuario, consulte Especificación de claves KMS en declaraciones de políticas de IAM de la Guía para desarrolladores de AWS KMS.

Cifrado de sus datos en la aplicación de SageMaker Canvas

La primera clave de KMS que puede utilizar en SageMaker Canvas se utiliza para cifrar los datos de la aplicación almacenados en los volúmenes de Amazon Elastic Block Store (Amazon EBS) y en el Amazon Elastic File System que SageMaker AI crea en su dominio. SageMaker Canvas cifra sus datos con esta clave en la aplicación subyacente y en los sistemas de almacenamiento temporal que se crean al utilizar instancias de computación para crear modelos y generar información. SageMaker Canvas pasa la clave a otros servicios de AWS, como el piloto automático, siempre que SageMaker Canvas inicie trabajos con ellos para procesar sus datos.

Puede especificar esta clave configurando el KmsKeyID en la llamada a la API CreateDomain o mientras realiza la configuración del dominio estándar en la consola. Si no especifica su propia clave KMS, SageMaker AI utiliza una clave de AWS KMS administrada predeterminada para cifrar sus datos en la aplicación de SageMaker Canvas.

Para especificar su propia clave de KMS para utilizarla en la aplicación de SageMaker Canvas a través de la consola, primero configure su dominio de Amazon SageMaker AI mediante la configuración estándar. Siga este procedimiento para completar la Sección de red y almacenamiento del dominio.

Cifre los datos de SageMaker Canvas almacenados en Amazon S3

La segunda clave de KMS que puede especificar se utiliza para los datos que SageMaker Canvas almacena en Amazon S3. Esta clave de KMS se especifica en el campo S3KMSKeyId en la llamada a la API CreateDomain o mientras realiza la configuración estándar de dominio en la consola de SageMaker AI. SageMaker AI Canvas guarda los duplicados de sus conjuntos de datos de entrada, datos de aplicaciones y modelos y datos de salida en el bucket de S3 predeterminado de SageMaker AI en la región para su cuenta. El patrón de nomenclatura de este bucket es s3://sagemaker-{Region}-{your-account-id}, y SageMaker Canvas almacena los datos en la carpeta Canvas/.

Importación de conjuntos de datos cifrados desde Amazon S3

Es posible que sus usuarios tengan conjuntos de datos cifrados con una clave KMS. Si bien en la sección anterior se muestra cómo cifrar los datos en SageMaker Canvas y los datos almacenados en Amazon S3, debe conceder permisos adicionales al rol de IAM de su usuario si quiere importar datos de Amazon S3 que ya estén cifrados con AWS KMS.

Para conceder a sus usuarios permisos para importar conjuntos de datos cifrados de Amazon S3 a SageMaker Canvas, añada los siguientes permisos al rol de ejecución de IAM que ha utilizado para el perfil de usuario.

      "kms:Decrypt",
      "kms:GenerateDataKey"
   

Para aprender a administrar los permisos de IAM para un rol, consulte Adición y eliminación de permisos de identidad de IAM en la Guía del usuario de IAM. Para obtener más información sobre las claves KMS, consulte Políticas de claves de AWS Key Management Service en la Guía para desarrolladores de AWS KMS.

Preguntas frecuentes

Consulte las siguientes preguntas frecuentes para obtener respuestas a las dudas más comunes sobre la compatibilidad de AWS KMS con SageMaker Canvas.