Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Abilita Lake Formation con gruppi di funzionalità

Quando abiliti AWS Lake Formation su un gruppo di funzionalità in Amazon SageMaker Feature Store, puoi applicare la sicurezza a livello di colonna, riga e cella per i dati delle funzionalità nel tuo negozio offline. Invece di gestire l'accesso tramite politiche IAM individuali su Amazon S3 e AWS Glue risorse, utilizzi il modello di autorizzazione di concessione e revoca di Lake Formation per controllare quali utenti e ruoli possono accedere a funzionalità e record specifici. Per ulteriori informazioni su Lake Formation, consulta la AWS Lake Formation Developer Guide.

Prerequisiti

Prima di abilitare Lake Formation, verifica di disporre di quanto segue:

Concetti chiave

I seguenti concetti sono importanti per comprendere come Lake Formation funziona con Feature Store.

Modello di autorizzazione di Lake Formation rispetto al IAM-only modello

Per impostazione predefinita, l'accesso alle AWS Glue Data Catalog tabelle, incluse quelle create da Feature Store, è controllato solo tramite le politiche IAM. Quando abiliti Lake Formation, l'accesso richiede sia le autorizzazioni IAM che le autorizzazioni Lake Formation. Lake Formation utilizza un modello di concessione e revoca in cui concedi esplicitamente autorizzazioni, come SELECT o, su databaseDESCRIBE, tabelle o colonne specifici ai principali IAM.

Modalità di accesso ibrida

Quando abiliti Lake Formation, scegli se utilizzare la modalità di accesso ibrida o la Formation-only modalità Lake:

Politica di negazione di S3

Anche dopo aver abilitato Lake Formation sul AWS Glue Data Catalog tavolo, gli utenti con accesso diretto ad Amazon S3 (tramite policy IAM) possono bypassare Lake Formation leggendo direttamente gli oggetti Amazon S3 sottostanti. Per colmare questa lacuna, applica una policy sui bucket di Amazon S3 che neghi l'accesso diretto al prefisso del negozio offline a tutti i principali ad eccezione del ruolo di servizio Lake Formation e del ruolo di esecuzione del Feature Store.

Informazioni di riferimento sulla configurazione

Usa la LakeFormationConfig classe per configurare Lake Formation. Si passa questa configurazione a FeatureGroupManager.create() quando si crea un nuovo gruppo di funzionalità o si utilizzano i singoli parametri direttamente enable_lake_formation() per i gruppi di funzionalità esistenti.

Comprensione di knowledge_risk

Il acknowledge_risk parametro è un cancello di sicurezza. Impostandolo suTrue, riconosci quanto segue:

Come funziona

Quando abiliti Lake Formation, l'SDK esegue una configurazione in tre fasi:

Una volta completate tutte le fasi, l'SDK registra una policy di rifiuto consigliata per i bucket S3. Rivedi e applica questa policy per impedire l'accesso diretto ad Amazon S3 che aggira il controllo di accesso di Lake Formation.

Esempi di utilizzo

Crea un nuovo gruppo di funzionalità con il controllo degli accessi a Lake Formation

L'esempio seguente crea un nuovo gruppo di funzionalità con un negozio offline e abilita il controllo degli accessi a Lake Formation in un'unica operazione.

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

Abilita Lake Formation su un gruppo di funzionalità esistente

L'esempio seguente abilita Lake Formation su un gruppo di funzionalità già esistente.

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

Usa i gruppi di Formation-enabled funzionalità di Lake con i lavori di SageMaker intelligenza artificiale

Puoi accedere ai gruppi di Formation-enabled funzionalità di Lake dai lavori di formazione ed elaborazione dell' SageMaker intelligenza artificiale. Per leggere i dati delle Formation-enabled funzionalità di Lake, puoi interrogare i dati tramite Athena o utilizzare l'GetTemporaryGlueTableCredentialsAPI Lake Formation per vendere credenziali Amazon S3 temporanee nell'ambito della tabella. AWS Glue Per ulteriori informazioni sulla configurazione delle autorizzazioni di Lake Formation per i ruoli di calcolo, consulta il riferimento alle autorizzazioni di Lake Formation nella documentazione di Lake Formation.

Cross-account accesso

Lake Formation supporta la condivisione dei dati dei gruppi di funzionalità tra di loro Account AWS. Quando l'account produttore abilita Lake Formation su un gruppo di funzionalità, può concedere l'accesso tra account diversi agli account dei consumatori utilizzando il metodo della risorsa denominata o il controllo di accesso basato su tag Lake Formation ()LF-TBAC.

Cross-account la condivisione richiede la seguente configurazione:

Per i prerequisiti, le istruzioni dettagliate e le migliori pratiche per la condivisione tra account, consulta i seguenti argomenti nella Lake Formation AWS Developer Guide:

Concedi un accesso granulare dopo la configurazione

Dopo aver abilitato Lake Formation, l'amministratore di Lake Formation può concedere autorizzazioni granulari ad altri dirigenti IAM utilizzando la console, l'API o la CLI di Lake Formation. Lake Formation supporta il controllo degli accessi a livello di colonna, riga e cella.

Per istruzioni sulla concessione e la gestione delle autorizzazioni di Lake Formation, consulta i seguenti argomenti nella AWS Lake Formation Developer Guide: