View a markdown version of this page

Configuration de politiques de contrôle des services pour les planifications de surveillance - Amazon SageMaker AI

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de politiques de contrôle des services pour les planifications de surveillance

Note

Amazon SageMaker Model Monitor n'est plus ouvert aux nouveaux clients. Les clients existants peuvent continuer à utiliser le service normalement. AWS continue d'investir dans l'amélioration de la sécurité et de la disponibilité de Model Monitor, mais nous ne prévoyons pas d'introduire de nouvelles fonctionnalités. Pour de plus amples informations, veuillez consulter Modification de la disponibilité d'Amazon SageMaker Model Monitor.

Vous devez spécifier les paramètres d'une tâche de surveillance lorsque vous créez ou mettez à jour un calendrier pour celle-ci avec l'CreateMonitoringScheduleAPI ou l'UpdateMonitoringScheduleAPI, respectivement. En fonction de votre cas d'utilisation, vous pouvez utiliser l'une des façons suivantes :

  • Vous pouvez spécifier le MonitoringJobDefinition champ de MonitoringScheduleConfig, lorsque vous invoquez CreateMonitoringSchedule ouUpdateMonitoringSchedule. Vous pouvez utiliser cela uniquement pour créer ou mettre à jour une planification pour une tâche de surveillance de la qualité des données.

  • Vous pouvez spécifier le nom d'une définition de tâche de surveillance, que vous avez déjà créée, pour le champ MonitoringJobDefinitionName de MonitoringScheduleConfig, lorsque vous invoquez CreateMonitoringSchedule ou UpdateMonitoringSchedule. Vous pouvez l'utiliser pour n'importe quelle définition de tâche que vous créez avec l'une des API suivantes :

    Si vous souhaitez utiliser le SDK SageMaker Python pour créer ou mettre à jour des planifications, vous devez utiliser ce processus.

Les processus susmentionnés s'excluent mutuellement, c'est-à-dire que vous pouvez spécifier le champ MonitoringJobDefinition ou le champ MonitoringJobDefinitionName lors de la création ou de la mise à jour de planifications de surveillance.

Lorsque vous créez une définition de tâche de surveillance ou en spécifiez une dans le champ MonitoringJobDefinition, vous pouvez définir des paramètres de sécurité, tels que NetworkConfig et VolumeKmsKeyId. En tant qu'administrateur, vous souhaiterez peut-être que ces paramètres soient toujours définis sur certaines valeurs, afin que les tâches de surveillance s'exécutent toujours dans un environnement sécurisé. Pour ce faire, configurez des politiques de contrôle des services (SCP) appropriées. Les politiques SCP sont un type de politique d'organisation que vous pouvez utiliser pour gérer les autorisations dans votre organisation.

L'exemple suivant montre une politique SCP que vous pouvez utiliser pour vous assurer que les paramètres d'infrastructure sont correctement définis lors de la création ou de la mise à jour de planifications pour les tâches de surveillance.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateDataQualityJobDefinition",
                "sagemaker:CreateModelBiasJobDefinition",
                "sagemaker:CreateModelExplainabilityJobDefinition",
                "sagemaker:CreateModelQualityJobDefinition"
            ],
            "Resource": "arn:*:sagemaker:*:*:*",
            "Condition": {
                "Null": {
                    "sagemaker:VolumeKmsKey":"true",
                    "sagemaker:VpcSubnets": "true",
                    "sagemaker:VpcSecurityGroupIds": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateDataQualityJobDefinition",
                "sagemaker:CreateModelBiasJobDefinition",
                "sagemaker:CreateModelExplainabilityJobDefinition",
                "sagemaker:CreateModelQualityJobDefinition"
            ],
            "Resource": "arn:*:sagemaker:*:*:*",
            "Condition": {
                "Bool": {
                    "sagemaker:InterContainerTrafficEncryption": "false"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateMonitoringSchedule",
                "sagemaker:UpdateMonitoringSchedule"
            ],
            "Resource": "arn:*:sagemaker:*:*:monitoring-schedule/*",
            "Condition": {
                "Null": {
                    "sagemaker:ModelMonitorJobDefinitionName": "true"
                }
            }
        }
    ]
}

Les deux premières règles de cet exemple garantissent que les paramètres de sécurité sont toujours définis pour les définitions des tâches de surveillance. La dernière règle exige que tous les membres de votre organisation qui créent ou mettent à jour une planification doivent toujours spécifier le champ MonitoringJobDefinitionName. Cela garantit qu'aucun membre de votre organisation ne peut définir de valeurs non sécurisées pour les paramètres de sécurité en spécifiant le champ MonitoringJobDefinition, lors de la création ou de la mise à jour de planifications.