기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

특성 그룹을 사용하여 Lake Formation 활성화

Amazon SageMaker 특성 저장소의 특성 그룹에서 AWS Lake Formation을 활성화하면 오프라인 저장소의 특성 데이터에 열 수준, 행 수준 및 셀 수준 보안을 적용할 수 있습니다. Amazon S3 및 AWS Glue 리소스의 개별 IAM 정책을 통해 액세스를 관리하는 대신 Lake Formation 권한 부여 및 취소 권한 모델을 사용하여 특정 기능 및 레코드에 액세스할 수 있는 사용자와 역할을 제어합니다. Lake Formation에 대한 자세한 내용은 AWS Lake Formation 개발자 안내서를 참조하세요.

사전 조건

Lake Formation을 활성화하기 전에 다음이 있는지 확인합니다.

주요 개념

다음 개념은 Lake Formation이 특성 저장소와 작동하는 방식을 이해하는 데 중요합니다.

IAM 전용 모델과 비교한 Lake Formation 권한 모델

기본적으로 특성 저장소에서 생성한 테이블을 포함한 AWS Glue Data Catalog 테이블에 대한 액세스는 IAM 정책만 통해 제어됩니다. Lake Formation을 활성화하면 액세스에 IAM 권한과 Lake Formation 권한이 모두 필요합니다. Lake Formation은 특정 데이터베이스, 테이블 또는 열DESCRIBE에 SELECT 대해 또는와 같은 권한을 IAM 보안 주체에 명시적으로 부여하는 권한 부여 및 취소 모델을 사용합니다.

하이브리드 액세스 모드

Lake Formation을 활성화할 때 하이브리드 액세스 모드 또는 Lake Formation 전용 모드를 사용할지 여부를 선택합니다.

S3 거부 정책

AWS Glue Data Catalog 테이블에서 Lake Formation을 활성화한 후에도 Amazon S3에 직접 액세스할 수 있는 사용자(IAM 정책을 통해)는 기본 Amazon S3 객체를 직접 읽어 Lake Formation을 우회할 수 있습니다. 이 격차를 해소하려면 Lake Formation 서비스 역할 및 특성 저장소 실행 역할을 제외한 모든 보안 주체의 오프라인 저장소 접두사에 대한 직접 액세스를 거부하는 Amazon S3 버킷 정책을 적용합니다.

구성 참조

LakeFormationConfig 클래스를 사용하여 Lake Formation을 구성합니다. 새 특성 그룹을 생성할 FeatureGroupManager.create() 때이 구성을에 전달하거나 기존 특성 그룹에 enable_lake_formation() 대해와 직접 개별 파라미터를 사용합니다.

acknowledge_risk 이해

acknowledge_risk 파라미터는 안전 게이트입니다. 로 설정하면 다음을 True승인합니다.

작동 방식

Lake Formation을 활성화하면 SDK는 3단계 설정을 수행합니다.

모든 단계가 완료되면 SDK는 권장 S3 버킷 거부 정책을 기록합니다. Lake Formation 액세스 제어를 우회하는 직접 Amazon S3 액세스를 방지하려면이 정책을 검토하고 적용합니다.

사용 예제

Lake Formation 액세스 제어를 사용하여 새 특성 그룹 생성

다음 예제에서는 오프라인 저장소가 있는 새 특성 그룹을 생성하고 단일 작업으로 Lake Formation 액세스 제어를 활성화합니다.

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

기존 특성 그룹에서 Lake Formation 활성화

다음 예시에서는 이미 존재하는 특성 그룹에서 Lake Formation을 활성화합니다.

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

SageMaker AI 작업과 함께 Lake Formation 지원 특성 그룹 사용

SageMaker AI 훈련 및 처리 작업에서 Lake Formation 지원 특성 그룹에 액세스할 수 있습니다. Lake Formation 지원 기능 데이터를 읽으려면 Athena를 통해 데이터를 쿼리하거나 Lake Formation GetTemporaryGlueTableCredentials API를 사용하여 AWS Glue 테이블에 범위가 지정된 임시 Amazon S3 자격 증명을 제공할 수 있습니다. 컴퓨팅 역할에 대한 Lake Formation 권한 구성에 대한 자세한 내용은 Lake Formation 설명서의 Lake Formation 권한 참조를 참조하세요.

크로스 계정 액세스

Lake Formation은 특성 그룹 데이터 공유를 지원합니다 AWS 계정. 생산자 계정이 특성 그룹에서 Lake Formation을 활성화하면 명명된 리소스 방법 또는 Lake Formation 태그 기반 액세스 제어(LF-TBAC)를 사용하여 소비자 계정에 대한 교차 계정 액세스 권한을 부여할 수 있습니다.

교차 계정 공유에는 다음 설정이 필요합니다.

교차 계정 공유를 위한 사전 조건, step-by-step 지침 및 모범 사례는 AWS Lake Formation 개발자 안내서의 다음 주제를 참조하세요.

설정 후 세분화된 액세스 권한 부여

Lake Formation을 활성화한 후 Lake Formation 관리자는 Lake Formation 콘솔, API 또는 CLI를 사용하여 다른 IAM 보안 주체에 세분화된 권한을 부여할 수 있습니다. Lake Formation은 열 수준, 행 수준 및 셀 수준 액세스 제어를 지원합니다.

Lake Formation 권한 부여 및 관리에 대한 지침은 AWS Lake Formation 개발자 안내서의 다음 주제를 참조하세요.