Connect (连接) SageMaker VPC 中的 Studio 笔记本电脑到外部资源 - Amazon SageMaker
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Connect (连接) SageMaker VPC 中的 Studio 笔记本电脑到外部资源

以下主题提供了有关如何将 VPC 中的 Studio Notebook 连接到外部资源的信息。

与互联网的默认通信

默认情况下, SageMaker Studio 提供一个网络接口,允许通过 SageMaker 管理的 VPC 与 Internet 通信。流量AmazonAmazon S3 和 CloudWatch 通过互联网网关,访问 SageMaker API 的流量也是如此 SageMaker 运行时间。域与 Amazon EFS 卷之间的流量通过您在加载到 Studio 时指定的 VPC 或调用CreateDomainAPI。下图显示了默认配置。


                    示意图 SageMaker 使用直接 Internet 访问的 Studio VPC

VPC only与互联网沟通

为了防止 SageMaker 从提供对 Studio 笔记本电脑的互联网访问,您可以通过指定VPC only当你时的网络访问类型注册到 Studio或者调用CreateDomainAPI。因此,除非您的 VPC 具有指向 SageMaker API 和运行时,或者可以访问互联网的 NAT 网关,并且您的安全组允许出站连接。下图显示了使用仅 VPC 模式的配置。


                    示意图 SageMaker 使用仅 VPC 模式的 Studio VPC

使用的要求VPC only模式

选择的时候VpcOnly,请按照以下步骤操作:

  1. 确保您的子网每个实例都有一个 IP 地址。有关更多信息,请参阅 。针对 IPv4 的 VPC 和子网大小调整.

    注意

    您只能使用默认租赁 VPC 配置子网,其中您的实例在共享硬件上运行。有关 VPC 租赁属性的更多信息,请参阅专用实例

  2. 使用入站和出站规则设置一个或多个安全组,这些规则共同允许以下流量:

  3. 如果要允许互联网访问,必须使用NAT 网关可以访问互联网,例如通过互联网网关.

  4. 如果您不希望允许访问互联网,创建接口 VPC 终端节点(AmazonPrivateLink) 允许 Studio 使用相应的服务名称访问以下服务。您还必须将 VPC 的安全组与这些终端节点关联起来。

    • SageMaker API:com.amazonaws.us-east-1.sagemaker.api

    • SageMaker 运行时:com.amazonaws.us-east-1.sagemaker.runtime. 运行 Studio 笔记本以及训练和托管模型是必需的。

    • Amazon S3:com.amazonaws.us-east-1.s3.

    • 使用 SageMaker 项目:com.amazonaws.us-east-1.servicecatalog.

    • 任何格式Amazon你需要的服务。

注意

对于在 VPC 模式下工作的客户,公司防火墙可能会导致连接问题 SageMaker Studio 或介于 Studio JupyterServer 和 KernelGateway。使用时是否遇到以下问题之一,请进行以下检查: SageMaker 工作室来自防火墙后面。

  • 检查 Studio URL 是否在网络允许列表中。

  • 检查 websocket 连接是否未被阻止。Jupyter 在引擎盖下使用 websocket。如果 KernelGateway 应用程序 InService, JupyterServer 可能无法连接到 KernelGateway。打开系统终端时也应该看到这个问题。