Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Activer la formation de lacs avec des groupes de fonctionnalités

Lorsque vous activez AWS Lake Formation sur un groupe de fonctionnalités dans Amazon SageMaker Feature Store, vous pouvez renforcer la sécurité au niveau des colonnes, des lignes et des cellules pour les données relatives aux fonctionnalités de votre boutique hors ligne. Au lieu de gérer l'accès par le biais de politiques IAM individuelles sur Amazon S3 et ses AWS Glue ressources, vous utilisez le modèle d'autorisation d'octroi et de révocation de Lake Formation pour contrôler quels utilisateurs et quels rôles peuvent accéder à des fonctionnalités et à des enregistrements spécifiques. Pour plus d'informations sur Lake Formation, consultez le AWS Lake Formation Developer Guide.

Conditions préalables

Avant d'activer Lake Formation, vérifiez que vous disposez des éléments suivants :

Concepts clés

Les concepts suivants sont importants pour comprendre le fonctionnement de Lake Formation avec Feature Store.

Comparaison du modèle d'autorisation de Lake Formation avec le IAM-only modèle

Par défaut, l'accès aux AWS Glue Data Catalog tables, y compris celles créées par Feature Store, est contrôlé uniquement par le biais des politiques IAM. Lorsque vous activez Lake Formation, l'accès nécessite à la fois des autorisations IAM et des autorisations Lake Formation. Lake Formation utilise un modèle d'octroi et de révocation dans lequel vous accordez explicitement des autorisations, telles que SELECT ouDESCRIBE, sur des bases de données, des tables ou des colonnes spécifiques aux principaux IAM.

Mode d'accès hybride

Lorsque vous activez Lake Formation, vous choisissez d'utiliser le mode d'accès hybride ou le Formation-only mode Lake :

Politique de refus S3

Même après avoir activé Lake Formation sur la AWS Glue Data Catalog table, les utilisateurs ayant un accès direct à Amazon S3 (via des politiques IAM) peuvent contourner Lake Formation en lisant directement les objets Amazon S3 sous-jacents. Pour combler cette lacune, appliquez une politique de compartiment Amazon S3 qui refuse l'accès direct au préfixe du magasin hors ligne à tous les principaux, à l'exception du rôle de service Lake Formation et du rôle d'exécution Feature Store.

Référence de configuration

Utilisez la LakeFormationConfig classe pour configurer Lake Formation. Vous transmettez cette configuration FeatureGroupManager.create() lors de la création d'un nouveau groupe de fonctionnalités ou vous utilisez les paramètres individuels directement enable_lake_formation() pour les groupes de fonctionnalités existants.

Comprendre la notion de risque

Le acknowledge_risk paramètre est une barrière de sécurité. En le réglant surTrue, vous reconnaissez ce qui suit :

Comment ça marche

Lorsque vous activez Lake Formation, le SDK effectue une configuration en trois phases :

Une fois toutes les phases terminées, le SDK enregistre une politique de refus de compartiment S3 recommandée. Consultez et appliquez cette politique pour empêcher l'accès direct à Amazon S3 qui contourne le contrôle d'accès à Lake Formation.

Exemples d’utilisation

Créez un nouveau groupe de fonctionnalités avec le contrôle d'accès à Lake Formation

L'exemple suivant crée un nouveau groupe d'entités avec un magasin hors ligne et active le contrôle d'accès à Lake Formation en une seule opération.

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

Activer Lake Formation sur un groupe d'entités existant

L'exemple suivant active Lake Formation sur un groupe d'entités qui existe déjà.

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

Utiliser les groupes de Formation-enabled fonctionnalités Lake avec des tâches d' SageMaker IA

Vous pouvez accéder aux groupes de Formation-enabled fonctionnalités Lake à partir de tâches de formation et de traitement de l' SageMaker IA. Pour lire les données des Formation-enabled fonctionnalités de Lake, vous pouvez soit interroger les données via Athena, soit utiliser l'GetTemporaryGlueTableCredentialsAPI Lake Formation pour vendre des informations d'identification Amazon S3 temporaires définies dans le tableau. AWS Glue Pour plus d'informations sur la configuration des autorisations de Lake Formation pour les rôles de calcul, consultez la référence des autorisations de Lake Formation dans la documentation de Lake Formation.

Cross-account accès

Lake Formation prend en charge le partage de données de groupes d'entités entre eux Comptes AWS. Lorsque le compte producteur active Lake Formation sur un groupe de fonctionnalités, il peut accorder un accès croisé aux comptes consommateurs en utilisant soit la méthode des ressources nommées, soit le contrôle d'accès basé sur les balises Lake Formation ()LF-TBAC.

Cross-account le partage nécessite la configuration suivante :

Pour connaître les prérequis, les instructions détaillées et les meilleures pratiques en matière de partage entre comptes, consultez les rubriques suivantes du guide du développeur de AWS Lake Formation :

Accorder un accès détaillé après la configuration

Une fois que vous avez activé Lake Formation, l'administrateur de Lake Formation peut accorder des autorisations détaillées à d'autres principaux IAM à l'aide de la console, de l'API ou de la CLI de Lake Formation. Lake Formation prend en charge le contrôle d'accès au niveau des colonnes, des lignes et des cellules.

Pour obtenir des instructions sur l'octroi et la gestion des autorisations de Lake Formation, consultez les rubriques suivantes dans le Guide du développeur de AWS Lake Formation :