在无互联网模式下运行训练和推理容器 - Amazon SageMaker
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

在无互联网模式下运行训练和推理容器

SageMaker 训练和部署的推理容器默认情况下启用 Internet。这允许容器访问外部服务和公共 Internet 上的资源,以作为训练和部署工作负载的一部分。但是,这可能是一个未经授权访问您的数据的通道。例如,恶意用户或无意中安装在容器上的恶意代码(以公开发布的源代码库形式)就可以访问您的数据并将数据传输到远程主机。

如果您使用 Amazon VPC 通过指定VpcConfig参数,当您调用CreateTrainingJobCreateHyperParameterTuningJob,或者CreateModel,您可以通过管理安全组和限制从您的 VPC 访问 Internet 来保护您的数据和资源。但是,其代价是进行额外网络配置的成本,并且配置网络时有出错的风险。如果您不希望 SageMaker 为您的训练或推理容器提供外部网络访问权限,您可以启用网络隔离。

网络隔离

您可以在创建训练作业或模型时启用网络隔离,方法是设置EnableNetworkIsolation参数设置为True当你调用CreateTrainingJobCreateHyperParameterTuningJob,或者CreateModel.

注意

网络隔离是使用来自Amazon Web Services Marketplace.

如果您启用网络隔离,则容器无法进行任何出站网络调用,甚至对于其他Amazon服务,例如 Amazon S3。此外,没有任何 Amazon 凭证可用于容器运行时环境。对于具有多个实例的训练作业,入站和出站网络流量限制为每个训练容器的对等项。SageMaker 仍然使用您的 SageMaker 执行角色,与训练或推理容器隔离,对 Amazon S3 执行下载和上传操作。

以下托管的 SageMaker 容器不支持网络隔离,因为它们需要访问 Amazon S3:

  • Chainer

  • PyTorch

  • Scikit-learn

  • SageMaker 强化学习

使用 VPC 进行网络隔离

网络隔离可与 VPC 结合使用。在这种情况下,客户数据和模型构件的下载和上传将通过您的 VPC 子网进行路由。但是,训练和推理容器本身继续与网络隔离,并且对 VPC 内或 Internet 上的任何资源都没有访问权限。