本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用特徵群組啟用 Lake Formation

當您在 Amazon SageMaker Feature Store 中的特徵群組上啟用 AWS Lake Formation 時，您可以對離線存放區中的特徵資料強制執行資料欄層級、資料列層級和儲存格層級的安全性。您可以使用 Lake Formation 授予和撤銷許可模型來控制哪些使用者和角色可以存取特定功能和記錄 AWS Glue ，而不是透過 Amazon S3 和資源上的個別 IAM 政策來管理存取權。如需 Lake Formation 的詳細資訊，請參閱 AWS Lake Formation 開發人員指南。

先決條件

啟用 Lake Formation 之前，請確認您有下列項目：

重要概念

下列概念對於了解 Lake Formation 如何與 Feature Store 搭配使用非常重要。

Lake Formation 許可模型與僅限 IAM 模型的比較

根據預設，僅透過 IAM 政策控制對 AWS Glue Data Catalog 資料表的存取，包括特徵商店建立的資料表。當您啟用 Lake Formation 時，存取需要 IAM 許可和 Lake Formation 許可。Lake Formation 使用授予和撤銷模型，您在特定資料庫、資料表或資料欄上明確授予許可給 IAM 主體DESCRIBE，例如 SELECT或 。

混合存取模式

當您啟用 Lake Formation 時，您可以選擇要使用混合存取模式還是僅限 Lake Formation 模式：

S3 拒絕政策

即使在 AWS Glue Data Catalog 資料表上啟用 Lake Formation 之後，具有直接 Amazon S3 存取權 （透過 IAM 政策） 的使用者也可以直接讀取基礎 Amazon S3 物件來略過 Lake Formation。若要消除此差距，請套用 Amazon S3 儲存貯體政策，拒絕直接存取 Lake Formation 服務角色和特徵商店執行角色以外的所有主體的離線存放區字首。

組態參考

使用 LakeFormationConfig類別來設定 Lake Formation。您可以在建立新功能群組FeatureGroupManager.create()時將此組態傳遞至 ，或enable_lake_formation()針對現有功能群組直接使用個別參數搭配 。

了解 acknowledge_risk

acknowledge_risk 參數是安全閘道。將其設定為 True，即表示您確認下列事項：

運作方式

當您啟用 Lake Formation 時，軟體開發套件會執行三階段設定：

在所有階段完成後，開發套件會記錄建議的 S3 儲存貯體拒絕政策。檢閱並套用此政策，以防止繞過 Lake Formation 存取控制的直接 Amazon S3 存取。

使用範例

使用 Lake Formation 存取控制建立新的功能群組

下列範例會使用離線存放區建立新的功能群組，並在單一操作中啟用 Lake Formation 存取控制。

from sagemaker.core.helper.session_helper import Session
from sagemaker.core.shapes import (
    FeatureDefinition,
    OfflineStoreConfig,
    OnlineStoreConfig,
    S3StorageConfig,
)
from sagemaker.mlops.feature_store import FeatureGroupManager, LakeFormationConfig

session = Session()
region = session.boto_region_name

role_arn = "arn:aws:iam::<account-id>:role/<execution-role-name>"
registration_role_arn = "arn:aws:iam::<account-id>:role/<registration-role-name>"
fg_name = "my-feature-group"
bucket = session.default_bucket()
offline_s3_uri = f"s3://{bucket}/feature-store/{fg_name}"

feature_definitions = [
    FeatureDefinition(feature_name="customer_id", feature_type="String"),
    FeatureDefinition(feature_name="event_time", feature_type="String"),
    FeatureDefinition(feature_name="age", feature_type="Integral"),
    FeatureDefinition(feature_name="total_purchases", feature_type="Integral"),
    FeatureDefinition(feature_name="avg_order_value", feature_type="Fractional"),
]

fg = FeatureGroupManager.create(
    feature_group_name=fg_name,
    record_identifier_feature_name="customer_id",
    event_time_feature_name="event_time",
    feature_definitions=feature_definitions,
    online_store_config=OnlineStoreConfig(enable_online_store=False),
    offline_store_config=OfflineStoreConfig(
        s3_storage_config=S3StorageConfig(s3_uri=offline_s3_uri),
        table_format="Iceberg",
    ),
    role_arn=role_arn,
    description="A feature group with Lake Formation-managed offline store",
    # Example configuration — adjust parameters for your use case.
    lake_formation_config=LakeFormationConfig(
        enabled=True,
        use_service_linked_role=False,
        registration_role_arn=registration_role_arn,
        # Set to True to keep existing IAM-based access (hybrid mode).
        hybrid_access_mode_enabled=False,
        acknowledge_risk=True,
    ),
    region=region,
)

在現有功能群組上啟用 Lake Formation

下列範例會在已存在的特徵群組上啟用 Lake Formation。

from sagemaker.mlops.feature_store import FeatureGroupManager

fg = FeatureGroupManager.get(feature_group_name="my-existing-feature-group")
result = fg.enable_lake_formation(
    use_service_linked_role=False,
    registration_role_arn="arn:aws:iam::<account-id>:role/<registration-role-name>",
    hybrid_access_mode_enabled=False,
    acknowledge_risk=True,
)

搭配 SageMaker AI 任務使用已啟用 Lake Formation 的功能群組

您可以從 SageMaker AI 訓練和處理任務存取已啟用 Lake Formation 的功能群組。若要讀取已啟用 Lake Formation 的功能資料，您可以透過 Athena 查詢資料，或使用 Lake Formation GetTemporaryGlueTableCredentials API 來提供範圍為 AWS Glue 資料表的臨時 Amazon S3 憑證。如需為運算角色設定 Lake Formation 許可的詳細資訊，請參閱 Lake Formation 文件中的 Lake Formation 許可參考。

跨帳戶存取權

Lake Formation 支援跨 共用特徵群組資料 AWS 帳戶。當生產者帳戶在特徵群組上啟用 Lake Formation 時，可以使用具名資源方法或 Lake Formation 標籤型存取控制 (LF-TBAC) 授予消費者帳戶的跨帳戶存取權。

跨帳戶共用需要下列設定：

如需跨帳戶共用的先決條件、step-by-step說明和最佳實務，請參閱 AWS Lake Formation 開發人員指南中的下列主題：

設定後授予精細存取

啟用 Lake Formation 之後，Lake Formation 管理員可以使用 Lake Formation 主控台、API 或 CLI 將精細許可授予其他 IAM 主體。Lake Formation 支援資料欄層級、資料列層級和儲存格層級存取控制。

如需授予和管理 Lake Formation 許可的指示，請參閱 AWS Lake Formation 開發人員指南中的下列主題：