Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Habilite Lake Formation con grupos de características

Cuando habilitas AWS Lake Formation en un grupo de características en Amazon SageMaker Feature Store, puedes aplicar la seguridad a nivel de columna, fila y celda para los datos de características de tu tienda offline. En lugar de gestionar el acceso mediante políticas de IAM individuales en Amazon S3 y sus AWS Glue recursos, se utiliza el modelo de concesión y revocación de permisos de Lake Formation para controlar qué usuarios y roles pueden acceder a funciones y registros específicos. Para obtener más información sobre Lake Formation, consulte la Guía para desarrolladores de AWS Lake Formation.

Requisitos previos

Antes de activar Lake Formation, compruebe que dispone de lo siguiente:

Conceptos clave

Los siguientes conceptos son importantes para entender cómo funciona Lake Formation con Feature Store.

Modelo de permiso de Lake Formation comparado con el IAM-only modelo

De forma predeterminada, el acceso a AWS Glue Data Catalog las tablas, incluidas las creadas por Feature Store, se controla únicamente mediante las políticas de IAM. Al activar Lake Formation, el acceso requiere permisos de IAM y permisos de Lake Formation. Lake Formation utiliza un modelo de concesión y revocación en el que se conceden permisos de forma explícita, por ejemploDESCRIBE, sobre bases de datos, tablas o columnas específicas a los directores de IAM. SELECT

Modo de acceso híbrido

Al activar Lake Formation, puede elegir si desea utilizar el modo de acceso híbrido o el Formation-only modo Lake:

Política de denegación de S3

Incluso después de activar Lake Formation sobre la AWS Glue Data Catalog mesa, los usuarios con acceso directo a Amazon S3 (a través de las políticas de IAM) pueden evitar Lake Formation leyendo directamente los objetos subyacentes de Amazon S3. Para cerrar esta brecha, aplique una política de bucket de Amazon S3 que deniegue el acceso directo al prefijo de la tienda fuera de línea a todos los principales, excepto a la función de servicio Lake Formation y la función de ejecución de Feature Store.

Referencia de la configuración

Usa la LakeFormationConfig clase para configurar Lake Formation. Esta configuración se transfiere FeatureGroupManager.create() al crear un nuevo grupo de entidades o se utilizan los parámetros individuales directamente con enable_lake_formation() los grupos de entidades existentes.

Entendiendo cognidge_risk

El acknowledge_risk parámetro es una puerta de seguridad. Al configurarlo enTrue, usted reconoce lo siguiente:

Funcionamiento

Al habilitar Lake Formation, el SDK realiza una configuración trifásica:

Una vez completadas todas las fases, el SDK registra una política de denegación de buckets de S3 recomendada. Revise y aplique esta política para evitar el acceso directo a Amazon S3 que eluda el control de acceso de Lake Formation.

Ejemplos de uso

Cree un nuevo grupo de funciones con el control de acceso de Lake Formation

El siguiente ejemplo crea un nuevo grupo de características con un almacén fuera de línea y habilita el control de acceso a Lake Formation en una sola operación.

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

Habilitar Lake Formation en un grupo de características existente

El siguiente ejemplo habilita Lake Formation en un grupo de entidades que ya existe.

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

Utilice los grupos de Formation-enabled características de Lake con trabajos de SageMaker IA

Puedes acceder a los grupos de Formation-enabled funciones de Lake desde los trabajos de procesamiento y entrenamiento de SageMaker IA. Para leer los datos de las Formation-enabled características de Lake, puede consultarlos a través de Athena o utilizar la GetTemporaryGlueTableCredentialsAPI de Lake Formation para vender credenciales temporales de Amazon S3 relacionadas con la tabla. AWS Glue Para obtener más información sobre la configuración de los permisos de Lake Formation para las funciones de cálculo, consulte la referencia de permisos de Lake Formation en la documentación de Lake Formation.

Cross-account acceso

Lake Formation permite compartir datos de grupos de características entre sí Cuentas de AWS. Cuando la cuenta del productor habilita Lake Formation en un grupo de funciones, puede conceder acceso multicuenta a las cuentas de los consumidores mediante el método de recurso designado o el control de acceso basado en etiquetas de Lake Formation ()LF-TBAC.

Cross-account el uso compartido requiere la siguiente configuración:

Para ver los requisitos previos, las instrucciones paso a paso y las mejores prácticas para compartir entre cuentas, consulta los siguientes temas de la Guía para desarrolladores de AWS Lake Formation:

Conceda un acceso detallado después de la configuración

Tras activar Lake Formation, el administrador de Lake Formation puede conceder permisos detallados a otros directores de IAM mediante la consola, la API o la CLI de Lake Formation. Lake Formation admite el control de acceso a nivel de columna, fila y celda.

Para obtener instrucciones sobre cómo conceder y administrar los permisos de Lake Formation, consulta los siguientes temas de la Guía para desarrolladores de AWS Lake Formation: