View a markdown version of this page

モニタリングスケジュールのサービスコントロールポリシーの設定 - Amazon SageMaker AI

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

モニタリングスケジュールのサービスコントロールポリシーの設定

注記

Amazon SageMaker Model Monitor は新規顧客に公開されなくなりました。既存のお客様は、引き続き通常どおりサービスを使用できます。 は Model Monitor のセキュリティと可用性の向上に AWS 引き続き投資しますが、新機能を導入する予定はありません。詳細については、「Amazon SageMaker Model Monitor の可用性の変更」を参照してください。

モニタリングジョブのスケジュールを作成または更新するときに CreateMonitoringSchedule API または UpdateMonitoringSchedule API をそれぞれ使用して、モニタリングジョブのパラメータをそれぞれ指定する必要があります。ユースケースに応じて、次のいずれかの方法でこれを行えます。

  • CreateMonitoringSchedule または UpdateMonitoringSchedule を呼び出すときに、MonitoringScheduleConfig の MonitoringJobDefinition フィールドを指定できます。これを使用できるのは、データ品質モニタリングジョブのスケジュールを作成または更新する場合に限られます。

  • CreateMonitoringSchedule または UpdateMonitoringSchedule を呼び出すときに、MonitoringScheduleConfig の MonitoringJobDefinitionName フィールドに、作成済みのモニタリングジョブ定義の名前を指定できます。これは、次の API のいずれかを使用して作成するどのジョブ定義にも使用できます。

    SageMaker Python SDK を使用してスケジュールを作成または更新する場合は、このプロセスを使用する必要があります。

前述のプロセスは相互に排他的です。つまり、モニタリングスケジュールを作成または更新するときに、MonitoringJobDefinition フィールドまたは MonitoringJobDefinitionName フィールドのいずれかを指定できます。

モニタリングジョブ定義を作成するか、MonitoringJobDefinition フィールドでモニタリングジョブ定義を指定すると、NetworkConfig や VolumeKmsKeyId などのセキュリティパラメータを設定できます。管理者は、モニタリングジョブが常に安全な環境で実行されるように、これらのパラメータを常に特定の値に設定するとよいでしょう。そのためには、適切なサービスコントロールポリシー (SCP) を設定します。SCP は、組織のアクセス許可の管理に使用できる組織ポリシーの一種です。

以下の例は、モニタリングジョブのスケジュールを作成または更新する際にインフラストラクチャーパラメータが適切に設定されてようにするために使用できる SCP を示しています。

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateDataQualityJobDefinition",
                "sagemaker:CreateModelBiasJobDefinition",
                "sagemaker:CreateModelExplainabilityJobDefinition",
                "sagemaker:CreateModelQualityJobDefinition"
            ],
            "Resource": "arn:*:sagemaker:*:*:*",
            "Condition": {
                "Null": {
                    "sagemaker:VolumeKmsKey":"true",
                    "sagemaker:VpcSubnets": "true",
                    "sagemaker:VpcSecurityGroupIds": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateDataQualityJobDefinition",
                "sagemaker:CreateModelBiasJobDefinition",
                "sagemaker:CreateModelExplainabilityJobDefinition",
                "sagemaker:CreateModelQualityJobDefinition"
            ],
            "Resource": "arn:*:sagemaker:*:*:*",
            "Condition": {
                "Bool": {
                    "sagemaker:InterContainerTrafficEncryption": "false"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "sagemaker:CreateMonitoringSchedule",
                "sagemaker:UpdateMonitoringSchedule"
            ],
            "Resource": "arn:*:sagemaker:*:*:monitoring-schedule/*",
            "Condition": {
                "Null": {
                    "sagemaker:ModelMonitorJobDefinitionName": "true"
                }
            }
        }
    ]
}

この例の最初の 2 つのルールでは、モニタリングジョブ定義のセキュリティパラメータが常に設定されるようになります。最後のルールでは、組織内でスケジュールを作成または更新する人は誰でも、必ず MonitoringJobDefinitionName フィールドを指定する必要があります。これにより、組織内の誰もスケジュールの作成または更新時に、MonitoringJobDefinition フィールドを指定してセキュリティパラメータに安全でない値を設定できなくなります。