本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # SageMaker Studio 筆記本的存取控制和設定許可 Amazon SageMaker Studio 使用檔案系統和容器許可來控制 Studio 使用者和筆記本的存取控制和隔離。這是 Studio 筆記本和 SageMaker 筆記本執行個體之間的主要差異之一。本主題描述如何設定許可以避免安全威脅、SageMaker AI 預設執行的動作，以及客戶如何自訂許可。如需 Studio 筆記本及其在執行期環境的更多相關資訊，請參閱[使用 Amazon SageMaker Studio Classic 筆記本](notebooks.md)。 **SageMaker AI 應用程式許可** *以使用者身分執行*是 POSIX 使用者／群組，用於在容器內執行 JupyterServer 應用程式和 KernelGateway 應用程式。 預設情況下，JupyterServer 應用程式以使用者身分執行為 sagemaker-user (1000)。此使用者擁有 sudo 許可，可啟用相依性的安裝，例如 yum 套件。 KernelGateway 應用程式以使用者身分執行預設為 root (0)。該使用者可以使用 pip/apt-get/conda 來安裝相依性。 由於使用者重新對應，使用者無法存取資源或變更為主機執行個體。 **使用者重新對應** SageMaker AI 會執行使用者重新對應，將容器內的使用者對應至容器外部主機執行個體上的使用者。容器中的使用者 ID 範圍 (0 - 65535) 會對應至執行個體上 65535 以上的非特權使用者 ID。例如，容器內的 sagemaker-user (1000) 可能會對應至執行個體上的使用者 (200001)，其中括號中的數字是使用者 ID。如果客戶在容器內建立新使用者／群組，則無論使用者／群組 ID 為何，都不會在主機執行個體上獲得授權。容器的根使用者也會對應至執行個體上的非授權使用者。如需更多資訊，請參閱[使用使用者命名空間隔離容器](https://docs.docker.com/engine/security/userns-remap/)。 **注意** 使用者 sagemaker-user 建立的檔案可能看起來像他們是由 SageMaker Studio (uid 65534) 擁有。這是快速應用程式建立模式的副作用，其中 SageMaker AI 容器映像會預先提取，讓應用程式在一分鐘內啟動。如果您的應用程式要求檔案擁有者 uid 和程序擁有者 uid 相符，請要求客戶服務從圖像預提取功能中刪除您的帳戶號碼。 **自訂影像許可** 客戶可以使用自己的自訂 SageMaker 影像。這些影像檔可以指定不同的使用者／群組執行身分，以啟動 KernelGateway 應用程式。客戶可以在影像內部實施精細的許可控制，例如停用根存取權或執行其他動作。此處適用相同的使用者重新對應。如需更多資訊，請參閱[Amazon SageMaker Studio Classic 中的自訂映像](studio-byoi.md)。 **容器隔離** Docker 會保留容器可使用的預設功能清單。SageMaker AI 不會新增其他功能。SageMaker AI 會新增特定的路由規則，以封鎖傳送至 Amazon EFS 的請求，以及來自容器的[執行個體中繼資料服務](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configuring-instance-metadata-service) (IMDS)。客戶無法從容器變更這些路由規則。如需更多資訊，請參閱[執行期特殊權限 和 Linux 功能](https://docs.docker.com/engine/reference/run/#runtime-privilege-and-linux-capabilities)。 **應用程式中繼資料存取** 執行中應用程式所使用的中繼資料會以唯讀許可掛載至容器。客戶無法從容器修改此中繼資料。有關可用中繼資料，請參閱[取得 Amazon SageMaker Studio Classic 筆記本和應用程式中繼資料](notebooks-run-and-manage-metadata.md)。 **EFS 上的使用者隔離** 當您開始使用 Studio 時，SageMaker AI 會為您的網域建立一個 Amazon Elastic File System (EFS) 磁碟區，該磁碟區由網域中的所有 Studio 使用者共用。每個使用者都會在 EFS 磁碟區上取得自己的私有主目錄。這個主目錄用於儲存使用者的筆記本，Git 儲存庫和其他資料。為了防止網域中的其他使用者存取使用者的資料，SageMaker AI 會為使用者的設定檔建立全域唯一的使用者 ID，並將其套用為使用者主目錄的 POSIX 使用者/群組 ID。 **EBS 存取** Amazon Elastic Block Store (Amazon EBS) 磁碟區連接到主機執行個體，並在所有影像之間共用。其用於筆記本的根磁碟區，並儲存在容器內部產生的暫時資料。刪除執行筆記本的執行個體時，儲存區不會持續運作。容器內部的根使用者無法存取 EBS 磁碟區。 **IMDS 存取** 基於安全考量，在 SageMaker Studio 中無法存取 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料服務 (IMDS)。如需 IMDS 的更多資訊，請參閱[執行個體中繼資料和使用者資料](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-instance-metadata.html)。