Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Activez la formation de lacs à l'aide de groupes de fonctionnalités

Lorsque vous activez AWS Lake Formation sur un groupe d'entités dans Amazon SageMaker Feature Store, vous pouvez renforcer la sécurité au niveau des colonnes, des lignes et des cellules pour les données des fonctionnalités de votre boutique hors ligne. Au lieu de gérer l'accès par le biais de politiques IAM individuelles sur Amazon S3 et les AWS Glue ressources, vous utilisez le modèle d'autorisation d'octroi et de révocation de Lake Formation pour contrôler quels utilisateurs et rôles peuvent accéder à des fonctionnalités et à des enregistrements spécifiques. Pour plus d'informations sur Lake Formation, consultez le Guide du développeur de AWS Lake Formation.

Conditions préalables

Avant d'activer Lake Formation, vérifiez que vous disposez des éléments suivants :

Concepts clés

Les concepts suivants sont importants pour comprendre comment Lake Formation fonctionne avec Feature Store.

Comparaison du modèle d'autorisation de Lake Formation avec le IAM-only modèle

Par défaut, l'accès aux AWS Glue Data Catalog tables, y compris celles créées par Feature Store, est contrôlé uniquement par les politiques IAM. Lorsque vous activez Lake Formation, l'accès nécessite à la fois des autorisations IAM et des autorisations Lake Formation. Lake Formation utilise un modèle d'octroi et de révocation dans lequel vous accordez explicitement des autorisations, telles que SELECT ouDESCRIBE, sur des bases de données, des tables ou des colonnes spécifiques aux responsables IAM.

Mode d'accès hybride

Lorsque vous activez Lake Formation, vous choisissez d'utiliser le mode d'accès hybride ou le Formation-only mode Lake :

Politique de refus S3

Même après avoir activé Lake Formation sur la AWS Glue Data Catalog table, les utilisateurs disposant d'un accès direct à Amazon S3 (via des politiques IAM) peuvent contourner Lake Formation en lisant directement les objets Amazon S3 sous-jacents. Pour combler cette lacune, appliquez une politique de compartiment Amazon S3 qui refuse l'accès direct au préfixe de la boutique hors ligne pour tous les principaux, à l'exception du rôle de service Lake Formation et du rôle d'exécution du Feature Store.

Référence de configuration

Utilisez la LakeFormationConfig classe pour configurer Lake Formation. Vous transmettez cette configuration FeatureGroupManager.create() lors de la création d'un nouveau groupe de fonctionnalités, ou vous utilisez les paramètres individuels directement avec enable_lake_formation() pour les groupes de fonctionnalités existants.

Comprendre acknowledge_risk

Le acknowledge_risk paramètre est une barrière de sécurité. En le réglant surTrue, vous reconnaissez ce qui suit :

Comment ça marche

Lorsque vous activez Lake Formation, le SDK effectue une configuration en trois phases :

Une fois toutes les phases terminées, le SDK enregistre une politique de refus de compartiment S3 recommandée. Consultez et appliquez cette politique pour empêcher l'accès direct à Amazon S3 qui contourne le contrôle d'accès de Lake Formation.

Exemples d’utilisation

Créez un nouveau groupe de fonctionnalités avec le contrôle d'accès Lake Formation

L'exemple suivant crée un nouveau groupe de fonctionnalités avec une boutique hors ligne et active le contrôle d'accès à Lake Formation en une seule opération.

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

Activer Lake Formation sur un groupe de fonctionnalités existant

L'exemple suivant active Lake Formation sur un groupe d'entités qui existe déjà.

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

Utiliser les groupes Formation-enabled d'entités Lake avec les tâches d' SageMaker IA

Vous pouvez accéder aux groupes de Formation-enabled fonctionnalités Lake à partir des tâches de formation et de traitement de l' SageMaker IA. Pour lire les données relatives aux Formation-enabled fonctionnalités de Lake, vous pouvez interroger les données via Athena ou utiliser l'GetTemporaryGlueTableCredentialsAPI Lake Formation pour vendre des informations d'identification Amazon S3 temporaires limitées à la AWS Glue table. Pour plus d'informations sur la configuration des autorisations de Lake Formation pour les rôles de calcul, consultez la section Référence des autorisations de Lake Formation dans la documentation de Lake Formation.

Cross-account accès

Lake Formation prend en charge le partage de données de groupes de fonctionnalités entre Comptes AWS. Lorsque le compte producteur active Lake Formation sur un groupe de fonctionnalités, il peut accorder un accès croisé aux comptes des consommateurs à l'aide de la méthode de ressource nommée ou du contrôle d'accès basé sur les balises Lake Formation ()LF-TBAC.

Cross-account le partage nécessite la configuration suivante :

Pour connaître les prérequis, les instructions étape par étape et les meilleures pratiques en matière de partage entre comptes, consultez les rubriques suivantes du AWS Lake Formation Developer Guide :

Accorder un accès précis après la configuration

Une fois que vous avez activé Lake Formation, l'administrateur de Lake Formation peut accorder des autorisations précises à d'autres responsables IAM à l'aide de la console, de l'API ou de l'interface de ligne de commande de Lake Formation. Lake Formation prend en charge le contrôle d'accès au niveau des colonnes, des lignes et des cellules.

Pour obtenir des instructions sur l'octroi et la gestion des autorisations de Lake Formation, consultez les rubriques suivantes du AWS Lake Formation Developer Guide :