Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Abilita Lake Formation con Feature Groups

Quando abiliti AWS Lake Formation su un gruppo di funzionalità in Amazon Feature Store, puoi applicare la SageMaker sicurezza a livello di colonna, a livello di riga e a livello di cella per i dati delle funzionalità nel tuo negozio offline. Invece di gestire l'accesso tramite singole policy IAM su Amazon S3 e AWS Glue risorse, utilizzi il modello di concessione e revoca delle autorizzazioni di Lake Formation per controllare quali utenti e ruoli possono accedere a funzionalità e record specifici. Per ulteriori informazioni su Lake Formation, consulta la Lake Formation Developer AWS Guide.

Prerequisiti

Prima di abilitare Lake Formation, verifica di disporre di quanto segue:

Concetti chiave

I concetti seguenti sono importanti per comprendere come Lake Formation funziona con Feature Store.

Modello di autorizzazione di Lake Formation rispetto al IAM-only modello

Per impostazione predefinita, l'accesso alle AWS Glue Data Catalog tabelle, incluse quelle create da Feature Store, è controllato solo tramite le politiche IAM. Quando si abilita Lake Formation, l'accesso richiede sia le autorizzazioni IAM che le autorizzazioni Lake Formation. Lake Formation utilizza un modello di concessione e revoca in cui si concedono esplicitamente autorizzazioni, ad esempio or, su databaseDESCRIBE, tabelle SELECT o colonne specifici ai principali IAM.

Modalità di accesso ibrida

Quando abiliti Lake Formation, scegli se utilizzare la modalità di accesso ibrida o la Formation-only modalità Lake:

Politica di rifiuto S3

Anche dopo aver abilitato Lake Formation sulla AWS Glue Data Catalog tabella, gli utenti con accesso diretto ad Amazon S3 (tramite policy IAM) possono bypassare Lake Formation leggendo direttamente gli oggetti Amazon S3 sottostanti. Per colmare questa lacuna, applica una bucket policy di Amazon S3 che neghi l'accesso diretto al prefisso del negozio offline per tutti i principali tranne il ruolo di servizio Lake Formation e il ruolo di esecuzione del Feature Store.

Informazioni di riferimento sulla configurazione

Usa la LakeFormationConfig classe per configurare Lake Formation. Si passa questa configurazione a FeatureGroupManager.create() quando si crea un nuovo gruppo di funzionalità o si utilizzano i singoli parametri direttamente con enable_lake_formation() i gruppi di funzionalità esistenti.

Comprensione di acknowledge_risk

Il acknowledge_risk parametro è un cancello di sicurezza. Impostandolo suTrue, riconosci quanto segue:

Come funziona

Quando abiliti Lake Formation, l'SDK esegue una configurazione in tre fasi:

Al termine di tutte le fasi, l'SDK registra una politica di negazione del bucket S3 consigliata. Rivedi e applica questa policy per impedire l'accesso diretto ad Amazon S3 che bypassa il controllo degli accessi di Lake Formation.

Esempi di utilizzo

Crea un nuovo gruppo di funzionalità con il controllo degli accessi di Lake Formation

L'esempio seguente crea un nuovo gruppo di funzionalità con un negozio offline e abilita il controllo degli accessi a Lake Formation in un'unica operazione.

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

Abilita Lake Formation su un gruppo di funzionalità esistente

L'esempio seguente abilita Lake Formation su un gruppo di feature già esistente.

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

Usa i gruppi di Formation-enabled funzionalità di Lake con i lavori di SageMaker intelligenza artificiale

Puoi accedere ai gruppi di Formation-enabled funzionalità di Lake dai lavori di formazione ed elaborazione dell' SageMaker IA. Per leggere i dati delle Formation-enabled funzionalità di Lake, puoi interrogare i dati tramite Athena o utilizzare l'GetTemporaryGlueTableCredentialsAPI Lake Formation per inviare credenziali Amazon S3 temporanee con ambito di applicazione alla tabella. AWS Glue Per ulteriori informazioni sulla configurazione delle autorizzazioni di Lake Formation per i ruoli di calcolo, consulta i riferimenti alle autorizzazioni di Lake Formation nella documentazione di Lake Formation.

Cross-account accesso

Lake Formation supporta la condivisione dei dati dei gruppi di funzionalità tra Account AWS. Quando l'account produttore abilita Lake Formation su un gruppo di funzionalità, può concedere l'accesso tra account agli account consumer utilizzando il metodo della risorsa denominata o il controllo di accesso basato sui tag di Lake Formation ()LF-TBAC.

Cross-account la condivisione richiede la seguente configurazione:

Per i prerequisiti, le istruzioni dettagliate e le migliori pratiche per la condivisione tra account, consulta i seguenti argomenti nella Lake Formation Developer Guide: AWS

Concedi un accesso granulare dopo la configurazione

Dopo aver abilitato Lake Formation, l'amministratore di Lake Formation può concedere autorizzazioni granulari ad altri principali IAM utilizzando la console, l'API o la CLI di Lake Formation. Lake Formation supporta il controllo degli accessi a livello di colonna, riga e cella.

Per istruzioni su come concedere e gestire le autorizzazioni di Lake Formation, consulta i seguenti argomenti nella Lake Formation Developer Guide: AWS