笔记本实例和 SageMaker 作业 - Amazon SageMaker
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

笔记本实例和 SageMaker 作业

要加密附加到笔记本、处理作业、训练作业、超参数优化作业、批量转换作业和终端节点的机器学习 (ML) 存储卷,您可以传递Amazon KMS关键指向 SageMaker。如果您不指定 KMS 密钥,SageMaker 会使用临时密钥加密存储卷,并在加密存储卷后立即放弃该密钥。对于笔记本实例,如果您没有指定 KMS 密钥,SageMaker 会使用系统管理的 KMS 密钥对操作系统卷和 ML 数据卷进行加密。

您可以使用Amazon托管Amazon KMS密钥对所有实例操作系统卷进行加密。您可以使用Amazon KMS键。按以下方式挂载 ML 存储卷:

  • 笔记本 - /home/ec2-user/SageMaker

  • 处理 - /opt/ml/processing/tmp/

  • 训练 - /opt/ml//tmp/

  • 批处理 - /opt/ml//tmp/

  • 终端节点 - /opt/ml//tmp/

处理、批量转换和训练作业容器及其存储本质上是短暂的。任务完成后,输出 Amazon S3 用Amazon KMS加密使用可选Amazon KMS键,并且实例被撕掉。如果Amazon KMS密钥未在作业请求中提供,默认情况下输出会使用AmazonAmazon S3 的托管密钥。

注意

关键策略Amazon无法编辑 Amazon S3 的托管密钥,因此无法为这些密钥策略授予跨账户权限。如果请求的输出 Amazon S3 存储桶来自其他账户,请指定您自己的Amazon KMS作业请求中的客户密钥,并确保作业的执行角色具有加密数据的权限。

重要

出于合规性原因需要使用 KMS 密钥加密的敏感数据应存储在 ML 存储卷或 Amazon S3 中,这两种方法都可以使用您指定的 KMS 密钥加密。

当您打开笔记本实例时,SageMaker 默认情况下,SageMaker 将该实例及与其关联的所有文件保存在 ML 存储卷的 SageMaker 文件夹中。当您停止笔记本实例时,SageMaker 会创建 ML 存储卷的快照。对已停止实例的操作系统的任何自定义设置(例如已安装的自定义库或操作系统级别设置)都将丢失。考虑使用生命周期配置来自动执行默认笔记本实例的自定义。当您终止实例时,快照和 ML 存储卷将被删除。您需要在笔记本实例的生命周期之后保留的任何数据都应传输到 Amazon S3 存储桶。

注意

某些基于 Nitro 的 SageMaker 实例包括本地存储,具体取决于实例类型。使用实例上的硬件模块对本地存储卷进行加密。无法在具有本地存储的实例类型上使用 KMS 密钥。有关支持本地实例存储的实例类型的列表,请参阅实例存储卷。有关基于 Nitro 的实例上的存储卷的更多信息,请参阅Linux 实例上的 Amazon EBS 和 NVMe.

有关本地实例存储加密的更多信息,请参阅 SSD 实例存储卷