翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

特徴量グループで Lake Formation を有効にする

Amazon SageMaker Feature Store の機能グループで AWS Lake Formation を有効にすると、オフラインストアの機能データに対して列レベル、行レベル、およびセルレベルのセキュリティを適用できます。Amazon S3 および AWS Glue リソースの個々の IAM ポリシーを通じてアクセスを管理する代わりに、Lake Formation の許可と取り消しのアクセス許可モデルを使用して、特定の機能とレコードにアクセスできるユーザーとロールを制御します。Lake Formation の詳細については、AWS 「Lake Formation デベロッパーガイド」を参照してください。

前提条件

Lake Formation を有効にする前に、以下があることを確認します。

主要なコンセプト

以下の概念は、Lake Formation が Feature Store とどのように連携するかを理解するために重要です。

Lake Formation アクセス許可モデルと IAM 専用モデルの比較

デフォルトでは、Feature Store によって作成されたテーブルを含む AWS Glue Data Catalog テーブルへのアクセスは、IAM ポリシーのみで制御されます。Lake Formation を有効にすると、アクセスには IAM アクセス許可と Lake Formation アクセス許可の両方が必要です。Lake Formation は、特定のデータベース、テーブルDESCRIBE、列に対する SELECTや などのアクセス許可を IAM プリンシパルに明示的に付与する付与および取り消しモデルを使用します。

ハイブリッドアクセスモード

Lake Formation を有効にするときは、ハイブリッドアクセスモードを使用するか、Lake Formation 専用モードを使用するかを選択します。

S3 拒否ポリシー

AWS Glue Data Catalog テーブルで Lake Formation を有効にした後でも、直接 Amazon S3 アクセス (IAM ポリシー経由) を持つユーザーは、基盤となる Amazon S3 オブジェクトを直接読み取ることで Lake Formation をバイパスできます。このギャップを埋めるには、Lake Formation サービスロールと Feature Store 実行ロールを除くすべてのプリンシパルのオフラインストアプレフィックスへの直接アクセスを拒否する Amazon S3 バケットポリシーを適用します。

設定リファレンス

LakeFormationConfig クラスを使用して Lake Formation を設定します。この設定は、新しい特徴量グループを作成するFeatureGroupManager.create()ときに に渡すか、既存の特徴量グループenable_lake_formation()に対して個々のパラメータを で直接使用します。

acknowledge_risk について

acknowledge_risk パラメータは安全ゲートです。に設定することでTrue、以下を承認します。

仕組み

Lake Formation を有効にすると、SDK は 3 フェーズのセットアップを実行します。

すべてのフェーズが完了すると、SDK は推奨される S3 バケット拒否ポリシーを記録します。このポリシーを確認して適用し、Lake Formation のアクセスコントロールをバイパスする Amazon S3 への直接アクセスを防止します。

使用例

Lake Formation アクセスコントロールを使用して新しい特徴量グループを作成する

次の例では、オフラインストアを使用して新しい特徴量グループを作成し、Lake Formation のアクセスコントロールを 1 回のオペレーションで有効にします。

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

既存の特徴量グループで Lake Formation を有効にする

次の例では、既に存在する特徴量グループで Lake Formation を有効にします。

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

SageMaker AI ジョブで Lake Formation 対応特徴量グループを使用する

Lake Formation 対応の特徴量グループには、SageMaker AI トレーニングジョブと処理ジョブからアクセスできます。Lake Formation が有効な機能データを読み取るには、Athena を介してデータをクエリするか、Lake Formation GetTemporaryGlueTableCredentials API を使用して AWS Glue 、テーブルにスコープされた一時的な Amazon S3 認証情報を提供します。コンピューティングロールの Lake Formation アクセス許可の設定の詳細については、Lake Formation ドキュメントの「Lake Formation アクセス許可リファレンス」を参照してください。

クロスアカウントアクセス

Lake Formation は、 間での機能グループデータの共有をサポートしています AWS アカウント。プロデューサーアカウントが特徴量グループで Lake Formation を有効にすると、名前付きリソースメソッドまたは Lake Formation タグベースのアクセスコントロール (LF-TBAC) を使用して、コンシューマーアカウントへのクロスアカウントアクセスを許可できます。

クロスアカウント共有には、次の設定が必要です。

クロスアカウント共有の前提条件、step-by-step、ベストプラクティスについては、 AWS Lake Formation デベロッパーガイドの以下のトピックを参照してください。

セットアップ後にきめ細かなアクセスを許可する

Lake Formation を有効にすると、Lake Formation 管理者は Lake Formation コンソール、API、または CLI を使用して、他の IAM プリンシパルにきめ細かなアクセス許可を付与できます。Lake Formation は、列レベル、行レベル、およびセルレベルのアクセスコントロールをサポートしています。

Lake Formation のアクセス許可の付与と管理の手順については、 AWS Lake Formation デベロッパーガイドの以下のトピックを参照してください。