在互联网免费模式下运行训练和推理容器 - Amazon SageMaker
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

在互联网免费模式下运行训练和推理容器

默认情况下,SageMaker 训练和部署的推理容器启用 Internet。这允许容器访问外部服务和公共 Internet 上的资源,以作为训练和部署工作负载的一部分。但是,这可以为未经授权访问您的数据提供一个通道。例如,恶意用户或无意中安装在容器上的恶意代码(以公开发布的源代码库形式)就可以访问您的数据并将数据传输到远程主机。

如果 VPC 通过为VpcConfig调用时的参数CreateTrainingJobCreateHyperParameterTuningJob,或者CreateModel,您可以通过管理安全组和限制从 VPC 访问 Internet 来保护您的数据和资源。但是,其代价是进行额外网络配置的成本,并且配置网络时有出错的风险。如果你不想 SageMaker 要提供对训练或推理容器的外部网络访问权限,您可以启用网络隔离。

网络隔离

您可以在创建训练作业或模型时通过设置EnableNetworkIsolation到参数True当你打电话CreateTrainingJobCreateHyperParameterTuningJob,或者CreateModel.

注意

使用以下的资源运行训练作业和模型时,需要网络隔离。Amazon Web Services Marketplace.

如果您启用网络隔离,容器无法进行任何出站网络调用,甚至对于其他容器也是如此Amazon诸如 Amazon S3 之类的服务。此外,没有任何 Amazon 凭证可用于容器运行时环境。对于具有多个实例的训练作业,入站和出站网络流量限制为每个训练容器的对等项。 SageMaker 仍然使用您的对 Amazon S3 执行下载和上传操作 SageMaker 独立于训练或推理容器的执行角色。

以下管理 SageMaker 容器不支持网络隔离,因为它们需要访问 Amazon S3:

  • Chainer

  • SageMaker 强化学习

使用 VPC 进行网络隔离

网络隔离可与 VPC 结合使用。在这种情况下,客户数据和模型构件的下载和上传将通过您的 VPC 子网进行路由。但是,训练和推理容器本身继续与网络隔离,并且对 VPC 内或 Internet 上的任何资源都没有访问权限。