本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用功能组启用 Lake Formation

当您在亚马逊 SageMaker 功能商店的功能组上启用 L AWS ake Formation 时，您可以对离线商店中的功能数据实施列级、行级和单元级安全。您可以使用 Lake Formation 授予和撤销权限模型来控制哪些用户和角色可以访问特定功能和记录，而不是通过单个 IAM 策略对 Amazon S3 和 AWS Glue 资源进行访问。有关 Lake Formation 的更多信息，请参阅 AWS Lake Formation 开发者指南。

先决条件

在启用 Lake Formation 之前，请确认您已具备以下条件：

重要概念

以下概念对于理解 Lake Formation 如何与 Feature Store 配合使用非常重要。

Lake Formation 权限模型与 IAM-only 模型的比较

默认情况下，仅通过 IAM 策略控制对 AWS Glue Data Catalog 表（包括功能商店创建的表）的访问。启用 Lake Formation 时，访问需要 IAM 权限和 Lake Formation 权限。Lake Formation 使用授予和撤销模式，在这种模式下，您可以明确向 IAM 委托人授予特定数据库、表或列的权限，例如或。SELECT DESCRIBE

混合访问模式

启用 Lake Formation 时，你可以选择使用混合访问模式还是湖泊 Formation-only 模式：

S3 拒绝策略

即使你在 AWS Glue Data Catalog 桌面上启用 Lake Formation，直接访问 Amazon S3（通过 IAM 策略）的用户也可以通过直接读取底层的亚马逊 S3 对象来绕过 Lake Formation。要缩小这一差距，请应用 Amazon S3 存储桶策略，拒绝除了 Lake Formation 服务角色和功能商店执行角色之外的所有委托人直接访问离线商店前缀。

配置参考

使用该LakeFormationConfig类来配置 Lake Formation。FeatureGroupManager.create()在创建新功能组时，您可以将此配置传递给，或者直接将各个参数与一起enable_lake_formation()用于现有功能组。

了解确认_风险

acknowledge_risk参数是安全门。将其设置为True，即表示您确认以下内容：

工作原理

当你启用 Lake Formation 时，SDK 会执行三个阶段的设置：

所有阶段完成后，SDK 会记录推荐的 S3 存储桶拒绝策略。查看并应用此政策，防止绕过 Lake Formation 访问控制直接访问 Amazon S3。

用法示例

使用 Lake Formation 访问控制创建新的功能组

以下示例创建了一个带有离线商店的新功能组，并在单个操作中启用 Lake Formation 访问控制。

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

在现有功能组上启用 Lake Formation

以下示例在已经存在的功能组上启用 Lake Formation。

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

将 Lake Formation-enabled 功能组与 SageMaker AI 作业配合使用

您可以通过 SageMaker AI 训练和处理作业访问 Lake Formation-enabled 功能组。要读取 Lake 要 Formation-enabled 素数据，您可以通过 Athena 查询数据，也可以使用 Lake Formati GetTemporaryGlueTableCredentialson API 向该表提供限定范围的临时 Amazon S3 证书。 AWS Glue 有关为计算角色配置 Lake Formation 权限的更多信息，请参阅 Lake Formation 文档中的 Lake Formation 权限参考。

Cross-account 访问

Lake Formation 支持跨平台共享要素组数据 AWS 账户。当创建者账户在功能组上启用 Lake Formation 时，它可以使用命名的资源方法或基于 Lake Formation 标签的访问控制 () LF-TBAC 向使用者账户授予跨账户访问权限。

Cross-account 共享需要进行以下设置：

有关跨账户共享的先决条件、分步说明和最佳实践，请参阅 AWS Lake Formation 开发者指南中的以下主题：

设置后授予细粒度访问权限

启用 Lake Formation 后，Lake Formation 管理员可以使用 Lake Formation 控制台、API 或 CLI 向其他 IAM 委托人授予细粒度的权限。Lake Formation 支持列级、行级和单元级访问控制。

有关授予和管理 Lake Formation 权限的说明，请参阅 AWS Lake Formation 开发者指南中的以下主题：