Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Exécution des conteneurs d’entraînement et d’inférence sans accès Internet
SageMaker La formation à l'IA et les conteneurs d'inférence déployés sont compatibles avec Internet par défaut. Ils peuvent ainsi accéder aux services et ressources externes sur l’Internet public dans le cadre de vos charges de travail d’entraînement et d’inférence. Cependant, une voie peut ainsi être ouverte pour l'accès non autorisé à vos données. Par exemple, un utilisateur ou un code malveillant que vous installez accidentellement sur le conteneur (sous la forme d’une bibliothèque de code source accessible au public) peut accéder à vos données et les transférer à un hôte distant.
Si vous utilisez un Amazon VPC en spécifiant une valeur pour le paramètre VpcConfig lorsque vous appelez CreateTrainingJob, CreateHyperParameterTuningJob, ou CreateModel, vous pouvez protéger vos données et vos ressources en gérant les groupes de sécurité et en restreignant l’accès Internet à partir de votre VPC. Cependant, c’est au prix d’une configuration réseau supplémentaire et d’un risque de configuration incorrecte de votre réseau. Si vous ne souhaitez pas que l' SageMaker IA fournisse un accès réseau externe à vos conteneurs de formation ou d'inférence, vous pouvez activer l'isolation du réseau.
Isolement du réseau
Vous pouvez activer l'isolement de réseau lorsque vous créez votre tâche ou votre modèle d'entraînement en définissant la valeur du paramètre EnableNetworkIsolation sur True lorsque vous appelez CreateTrainingJob, CreateHyperParameterTuningJob, ou CreateModel.
Note
L’isolement réseau est requis pour exécuter les tâches d’entraînement et les modèles exécutés à l’aide des ressources de AWS Marketplace. Pour plus de sécurité, les AWS Marketplace images s'exécutent au sein d'un Amazon VPC. Elles ont seulement accès aux données de leurs systèmes de fichiers locaux.
Lorsque vous activez l'isolation du réseau, vos conteneurs de formation et d'inférence ne peuvent effectuer aucun appel réseau sortant vers aucun service, y compris Amazon S3. Aucune information AWS d'identification n'est mise à la disposition de l'environnement d'exécution du conteneur. Pour les tâches de formation comportant plusieurs instances, le trafic réseau entrant et sortant est limité à la communication entre pairs du conteneur de formation.
SageMaker L'IA gère toujours toutes les opérations de téléchargement et de chargement nécessaires sur Amazon S3 à l'aide de votre rôle d'exécution SageMaker AI. Cela se produit indépendamment de vos conteneurs d'entraînement et d'inférence, ce qui garantit que vos données d'entraînement et vos artefacts de modèle restent accessibles tout en maintenant l'isolement des conteneurs.
Les conteneurs d' SageMaker IA gérés suivants ne prennent pas en charge l'isolation du réseau car ils nécessitent un accès à Amazon S3 :
-
Chainer
-
SageMaker L'apprentissage par renforcement de l'IA
Isolement réseau avec un VPC
L’isolement réseau peut être utilisé en association avec un VPC. Dans ce scénario, le téléchargement des données client et des artefacts de modèle sont acheminés via votre sous-réseau VPC. Les conteneurs d’entraînement et d’inférence restent toutefois isolés du réseau et n’ont pas accès aux ressource de votre VPC ou sur Internet.
