As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Habilite a formação de lagos com grupos de recursos

Ao habilitar o AWS Lake Formation em um grupo de recursos na Amazon SageMaker Feature Store, você pode aplicar a segurança em nível de coluna, linha e célula para os dados de recursos em sua loja offline. Em vez de gerenciar o acesso por meio de políticas individuais do IAM no Amazon S3 e nos AWS Glue recursos, você usa o modelo de permissão de concessão e revogação do Lake Formation para controlar quais usuários e funções podem acessar recursos e registros específicos. Para obter mais informações sobre a formação de lagos, consulte o Guia do desenvolvedor de formações de AWS lagos.

Pré-requisitos

Antes de ativar o Lake Formation, verifique se você tem o seguinte:

Principais conceitos

Os conceitos a seguir são importantes para entender como o Lake Formation funciona com o Feature Store.

Modelo de permissão de formação de lago comparado ao IAM-only modelo

Por padrão, o acesso às AWS Glue Data Catalog tabelas, incluindo aquelas criadas pela Feature Store, é controlado somente por meio de políticas do IAM. Quando você ativa o Lake Formation, o acesso exige permissões do IAM e do Lake Formation. O Lake Formation usa um modelo de concessão e revogação em que você concede explicitamente permissões, como SELECT ouDESCRIBE, em bancos de dados, tabelas ou colunas específicos para diretores do IAM.

Modo de acesso híbrido

Ao ativar o Lake Formation, você escolhe se deseja usar o modo de acesso híbrido ou o Formation-only modo Lago:

Política de negação do S3

Mesmo depois de habilitar o Lake Formation na AWS Glue Data Catalog mesa, os usuários com acesso direto ao Amazon S3 (por meio de políticas do IAM) podem ignorar o Lake Formation lendo diretamente os objetos subjacentes do Amazon S3. Para fechar essa lacuna, aplique uma política de bucket do Amazon S3 que negue acesso direto ao prefixo da loja offline para todos os diretores, exceto a função de serviço Lake Formation e a função de execução da Feature Store.

Referência da configuração

Use a LakeFormationConfig classe para configurar o Lake Formation. Você passa essa configuração para FeatureGroupManager.create() ao criar um novo grupo de recursos ou usa os parâmetros individuais diretamente com enable_lake_formation() os grupos de recursos existentes.

Entendendo o acknowledge_risk

O acknowledge_risk parâmetro é um portão de proteção. Ao configurá-lo comoTrue, você reconhece o seguinte:

Como funciona

Quando você ativa o Lake Formation, o SDK executa uma configuração trifásica:

Após a conclusão de todas as fases, o SDK registra uma política recomendada de negação de bucket do S3. Analise e aplique essa política para evitar o acesso direto ao Amazon S3 que ignore o controle de acesso do Lake Formation.

Exemplos de uso

Crie um novo grupo de recursos com o controle de acesso do Lake Formation

O exemplo a seguir cria um novo grupo de recursos com uma loja offline e permite o controle de acesso à Lake Formation em uma única operação.

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

Habilitar a formação de lagos em um grupo de recursos existente

O exemplo a seguir habilita o Lake Formation em um grupo de recursos que já existe.

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

Use grupos de Formation-enabled recursos do Lake com trabalhos de SageMaker IA

Você pode acessar os grupos de Formation-enabled recursos do Lake a partir de trabalhos de treinamento e processamento de SageMaker IA. Para ler os dados dos Formation-enabled recursos do Lake, você pode consultar os dados por meio do Athena ou usar a GetTemporaryGlueTableCredentials API Lake Formation para vender credenciais temporárias do Amazon S3 com escopo definido na tabela. AWS Glue Para obter mais informações sobre como configurar as permissões do Lake Formation para funções de computação, consulte a referência de permissões do Lake Formation na documentação do Lake Formation.

Cross-account acesso

O Lake Formation suporta o compartilhamento de dados de grupos de recursos entre Contas da AWS. Quando a conta do produtor ativa o Lake Formation em um grupo de recursos, ela pode conceder acesso entre contas às contas do consumidor usando o método de recurso nomeado ou o controle de acesso baseado em tag do Lake Formation ()LF-TBAC.

Cross-account o compartilhamento requer a seguinte configuração:

Para ver os pré-requisitos, instruções passo a passo e as melhores práticas para compartilhamento entre contas, consulte os tópicos a seguir no Guia do desenvolvedor do Lake Formation: AWS

Conceda acesso refinado após a configuração

Depois de habilitar o Lake Formation, o administrador do Lake Formation pode conceder permissões refinadas a outros diretores do IAM usando o console, a API ou a CLI do Lake Formation. O Lake Formation suporta controle de acesso em nível de coluna, linha e célula.

Para obter instruções sobre como conceder e gerenciar permissões de formação de lagos, consulte os seguintes tópicos no Guia do desenvolvedor de formações de AWS lagos: