保护分布式训练作业中机器学习计算实例之间的通信 - 亚马逊 SageMaker
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

保护分布式训练作业中机器学习计算实例之间的通信

默认情况下,Amazon Virtual Private Cloud (Amazon VPC) 中 SageMaker 运行训练任务,以帮助确保您的数据安全。您可以通过配置一个私有 VPC 添加另一层安全性来保护您的训练容器和数据。分布式机器学习框架和算法通常传输与模型直接相关的信息,例如权重,而不是训练数据集。当执行分布式训练时,您可以进一步保护在实例之间传输的数据。这可以帮助您遵守法规要求。为此,请使用容器间流量加密。

注意

对于医疗保健领域的用例,安全的最佳实践是加密节点之间的通信。

启用容器间流量加密可能会增加训练时间,在您使用分布式深度学习算法时尤其如此。启用容器间流量加密不会影响具有单个计算实例的训练作业。但是,对于具有多个计算实例的训练作业,对训练时间的影响取决于计算实例之间的通信量。对于受影响的算法,添加此另一层安全性还会增加成本。大多数 SageMaker 内置算法(例如 XGBoost、DeepAR 和线性学习器)的训练时间通常不会受到影响。

您可以为训练作业或超级参数优化作业启用容器间流量加密。您可以使用 SageMaker API 或控制台启用容器间流量加密。

有关在私有 VPC 中运行训练任务的信息,请参阅允许 SageMaker 培训作业访问您的 Amazon VPC 中的资源

启用容器间流量加密 (API)

在使用 API 对训练或超参数调整任务启用容器间流量加密之前,请将入站和出站规则添加到您的私有 VPC 的安全组。

启用容器间流量加密 (API)
  1. 将以下入站和出站规则添加到您的私有 VPC 的安全组中:

    协议 端口范围

    UDP

    500

    本身安全组 ID

    ESP 50

    N/A

    本身安全组 ID

  2. CreateTrainingJobCreateHyperParameterTuningJob API 发送请求时,为 EnableInterContainerTrafficEncryption 参数指定 True

注意

对于ESP 50协议,Amazon安全组控制台可能会将端口范围显示为 “全部”。但是,Amazon EC2 会忽略指定的端口范围,因为它不适用于 ESP 50 IP 协议。

启用容器间流量加密(控制台)

在训练作业中启用容器间流量加密

在训练作业中启用容器间流量加密
  1. 通过 https://console.aws.amazon.com/sagemaker/ 打开亚马逊 SageMaker 控制台。

  2. 在导航窗格中,选择 Training (训练),然后选择 Training jobs (训练作业)

  3. 选择 Create training job (创建训练作业)

  4. 在 “网络” 下,选择 VPC。可以使用默认 VPC 或您创建的 VPC。

  5. 选择启用容器间流量加密

启用容器间流量加密后,完成训练作业的创建。有关更多信息,请参阅步骤 4:训练模型

在超级参数优化作业中启用容器间流量加密

在超级参数优化作业中启用容器间流量加密
  1. 通过 https://console.aws.amazon.com/sagemaker/ 打开亚马逊 SageMaker 控制台。

  2. 在导航窗格中,选择训练,然后选择超参数优化作业

  3. 选择 Create hyperparameter tuning job (创建超参数优化作业)

  4. 在 “网络” 下,选择 VPC。可以使用默认 VPC 或您创建的 VPC。

  5. 选择启用容器间流量加密

启用容器间流量加密后,完成超级参数优化作业的创建。有关更多信息,请参阅配置并启动超参数优化作业