Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de Studio pour l’exécuter avec des sous-réseaux sans accès à Internet au sein d’un VPC

Ce guide explique comment vous connecter aux espaces Amazon SageMaker Studio à partir de Visual Studio Code lorsque votre domaine Amazon SageMaker AI s'exécute dans des sous-réseaux privés sans accès à Internet. Vous découvrirez les exigences de connectivité et les options de configuration pour établir des connexions à distance sécurisées dans des environnements réseau isolés.

Vous pouvez configurer Amazon SageMaker Studio pour qu'il s'exécute en mode VPC uniquement avec des sous-réseaux sans accès à Internet. Cette configuration renforce la sécurité de vos charges de travail de machine learning en fonctionnant dans un environnement réseau isolé où tout le trafic passe par le VPC. Pour activer les communications externes tout en préservant la sécurité, utilisez les points de terminaison VPC pour les AWS services et configurez le PrivateLink VPC pour les dépendances requises. AWS

Exigences réseau pour l’accès à distance de Studio

Limitations du mode VPC : Studio en mode VPC ne prend en charge que les sous-réseaux privés. Studio ne peut pas fonctionner avec des sous-réseaux directement attachés à une passerelle Internet Gateway (IGW). Les connexions VS Code distantes présentent les mêmes limites que l' SageMaker IA. Pour plus d’informations, consultez Connexion des blocs-notes Studio dans un VPC à des ressources externes.

Exigences en matière de VPC PrivateLink

Lorsque l' SageMaker IA s'exécute dans des sous-réseaux privés, configurez ces points de terminaison VPC SSM en plus des points de terminaison VPC standard requis pour. SageMaker Pour plus d’informations, consultez Connexion de Studio via un point de terminaison de VPC.

Recommandations relatives aux politiques relatives aux terminaux VPC

Voici les politiques de point de terminaison VPC recommandées qui autorisent les actions nécessaires pour l'accès à distance tout en utilisant la aws:PrincipalIsAWSService condition pour garantir que seuls AWS des services tels qu'Amazon SageMaker AI peuvent passer les appels. Pour plus d'informations sur la clé de aws:PrincipalIsAWSService condition, consultez la documentation.

Politique relative aux terminaux SSM

Utilisez la politique suivante pour le com.amazonaws.REGION.ssm point de terminaison :

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "ssm:CreateActivation",
                "ssm:RegisterManagedInstance",
                "ssm:DeleteActivation",
                "ssm:DeregisterManagedInstance",
                "ssm:AddTagsToResource",
                "ssm:UpdateInstanceInformation",
                "ssm:UpdateInstanceAssociationStatus",
                "ssm:DescribeInstanceInformation",
                "ssm:ListInstanceAssociations",
                "ssm:ListAssociations",
                "ssm:GetDocument",
                "ssm:PutInventory"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:PrincipalIsAWSService": "true"
                }
            }
        }
    ]
}

Politique de point de terminaison des messages SSM

Utilisez la politique suivante pour le com.amazonaws.REGION.ssmmessages point de terminaison :

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:PrincipalIsAWSService": "true"
                }
            }
        }
    ]
}

Exigences réseau spécifiques à VS Code

La connexion VS Code à distance nécessite le développement à distance de VS Code, qui nécessite un accès réseau spécifique pour installer le serveur distant et les extensions. Consultez la FAQ sur le développement à distance dans la documentation de Visual Studio Code pour connaître toutes les exigences réseau. Voici un résumé de ces exigences :

Configuration du réseau d’accès à distance de Studio

Deux options s’offrent à vous pour connecter votre environnement Visual Studio Code local aux espaces Studio situés dans des sous-réseaux privés :

Configuration d’un proxy HTTP avec une liste d’autorisations contrôlée

Lorsque votre espace Studio se trouve derrière un pare-feu ou un proxy, autorisez l'accès au serveur VS Code, aux extensions et aux points de terminaison CDNs .

Configuration d’un serveur distant Visual Studio Code prépackagé et de ses extensions

Lorsque vos espaces Studio ne peuvent pas accéder à des points de terminaison externes pour télécharger le serveur distant VS Code et ses extensions, vous pouvez les prépackager. Avec cette approche, vous exportez une archive contenant le répertoire .VS Code-server d’une version spécifique de VS Code. Ensuite, vous utilisez un script SageMaker AI Lifecycle Configuration (LCC) pour copier et extraire l'archive tar dans le répertoire de base (/home/sagemaker-user) des espaces Studio. Cette solution basée sur le LCC fonctionne à la fois avec les images AWS fournies et avec les images personnalisées. Même lorsque vous n’utilisez pas de sous-réseaux privés, cette approche accélère la configuration du serveur distant VS Code et des extensions préinstallées.

Instructions pour prépackager votre serveur distant VS Code et les extensions