As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Considerações de segurança para pontos de verificação gerenciados em camadas
Esta seção aborda importantes considerações de segurança ao usar pontos de verificação gerenciados em camadas. Ela aborda o uso do pickle do Python, a criptografia do Amazon S3 e a segurança de endpoints de rede.
Uso de pickle do Python
O ponto de verificação hierárquico gerenciado usa o módulo pickle do Python para desserializar os dados do ponto de verificação armazenados no Amazon S3. Essa implementação tem implicações de segurança importantes:
-
Limite de confiança estendido: ao usar pontos de verificação gerenciados em camadas com o Amazon S3, o bucket do Amazon S3 se torna parte do limite de confiança do seu cluster.
-
Risco de execução de código: o módulo pickle do Python pode executar código arbitrário durante a desserialização. Se um usuário não autorizado obtiver acesso de gravação ao seu bucket Amazon S3 de ponto de verificação, ele poderá criar dados de pickle maliciosos que são executados quando carregados por um ponto de verificação hierárquico gerenciado.
Práticas recomendadas para armazenamento no Amazon S3
Ao usar pontos de verificação gerenciados em camadas com o armazenamento Amazon S3:
-
Restrinja o acesso ao bucket do Amazon S3: garanta que somente usuários autorizados e perfis associados ao seu cluster de treinamento tenham acesso ao bucket do Amazon S3 usado para pontos de verificação.
-
Implemente políticas de bucket: configure políticas de bucket apropriadas para evitar acessos ou modificações não autorizados.
-
Valide os padrões de acesso: implemente o registro em log para validar os padrões de acesso aos buckets Amazon S3 do seu ponto de verificação.
-
Valide os nomes de bucket: tenha cuidado ao selecionar o nome dos buckets para evitar possíveis sequestros de bucket.
Endpoints de rede
O ponto de verificação gerenciado em camadas habilita endpoints de rede em cada um dos seus nós de computação nas seguintes portas: 9200/TCP, 9209/UDP, 9210/UDP, 9219/UDP, 9220/UDP, 9229/UDP, 9230/UDP, 9239/UDP, 9240/UDP. Essas portas são necessárias para que o serviço de ponto de verificação funcione e mantenha a sincronização de dados.
Por padrão, SageMaker a configuração de rede restringe o acesso a esses endpoints para fins de segurança. Recomendamos que você mantenha essas restrições padrão.
Ao definir suas configurações de rede para seus nós e VPC, AWS siga as melhores práticas VPCs para grupos de segurança e. ACLs Para saber mais, consulte:
