本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
亚马逊 SageMaker 控制
这些控制措施与 SageMaker 资源有关。
这些控件可能并非全部可用 Amazon Web Services 区域。有关更多信息，请参阅 按地区划分的控件可用性。
[SageMaker.1] Amazon SageMaker 笔记本实例不应直接访问互联网
相关要求：PCIDSSv3.2.1/1.2.1、v3.2.1/1.3.1、v3.2.1/1.3. PCI DSS 2、PCI DSS v3.2.1/1.3.4、v3.2.1/1.3.6、.800-53. NIST r5 AC-21、.800-53.r5 AC-3、.800-53.r5 AC-3 (7)、.800-5 PCI DSS 3.r5 AC-4、.800-5 PCI DSS 3.r5 AC-4 (21)，.800-53.r5 AC-6、.800-53.r5 SC-7、.800-53.r5 SC-7 (11)、NIST .800-53.r5 SC-7 (16)、.800-53.r5 SC-7 (20)、NIST .800-53.r5 SC-7 (21) NIST NIST NIST NIST NIST NIST NIST NIST，NIST.800-53.r5 SC-7 (3)、.800-53.r5 SC-7 (4)、NIST .800-53.r5 SC-7 (9) NIST
类别：保护 > 安全网络配置
严重性：高
资源类型：AWS::SageMaker::NotebookInstance
Amazon Config 规则：sagemaker-notebook-no-direct-internet-access
计划类型：定期
参数：无
此控件检查 SageMaker 笔记本实例是否禁用了直接互联网接入。如果为笔记本实例启用了该DirectInternetAccess字段，则控件将失败。
如果您配置的 SageMaker 实例不带有VPC，则默认情况下，您的实例将启用直接互联网接入。您应该使用配置您的实例，VPC并将默认设置更改为禁用——通过访问互联网。VPC要使用笔记本电脑训练或托管模型，您需要访问 Internet。要启用 Internet 访问，您VPC必须拥有接口终端节点 (Amazon PrivateLink) 或NAT网关以及允许出站连接的安全组。要详细了解如何将笔记本实例连接到中的资源VPC，请参阅《Amazon SageMaker 开发者指南》中的将笔记本实例连接到资源。VPC您还应确保只有经过授权的用户才能访问您的 SageMaker 配置。限制允许用户更改 SageMaker 设置和资源的IAM权限。
修复
在创建笔记本实例后，您无法变更 Internet 访问设置。相反，您可以停止、删除和重新创建 Internet 访问受阻的实例。要删除允许直接访问互联网的笔记本实例，请参阅 Amazon SageMaker 开发者指南中的使用笔记本实例构建模型：清理。要重新创建拒绝 Internet 访问的笔记本实例，请参阅创建笔记本实例。对于 “网络、直接访问互联网”，选择 “禁用——通过访问互联网”。VPC
[SageMaker.2] SageMaker 笔记本实例应以自定义方式启动 VPC
相关要求：NIST.800-53.r5 AC-21、.800-53.r5 AC-3、.800-53.r5 AC-3 (7)、NIST .800-53.r5 AC-4、.800-53.r5 AC-4 (21)、NIST .800-53.r5 AC-6、.800-53.r5 SC-7、.800-53.r5 SC-7 (11)，NIST.800-53.r5 SC-7 (16)、.800-53.r5 SC-7 (20)、NIST .800-53.r5 SC-7 (21)、NIST .800-53.r5 SC-7 (3)、.800-53.r5 SC-7 (3)、NIST .800-53.r5 SC-7 (9) NIST NIST NIST NIST NIST NIST NIST
类别：保护 > 安全网络配置 > 其中的资源 VPC
严重性：高
资源类型：AWS::SageMaker::NotebookInstance
Amazon Config 规则：sagemaker-notebook-instance-inside-vpc
计划类型：已触发变更
参数：无
此控件检查 Amazon SageMaker 笔记本实例是否在自定义虚拟私有云 (VPC) 中启动。如果 SageMaker 笔记本实例未在自定义中启动VPC或在 SageMaker 服务中启动，则此控件将失败VPC。
子网是指其中的一个 IP 地址范围。VPC我们建议VPC尽可能将您的资源保存在自定义资源中，以确保您的基础架构受到安全的网络保护。Amazon VPC 是专为您服务的虚拟网络 Amazon Web Services 账户. 借助 AmazonVPC，您可以控制 SageMaker Studio 和笔记本实例的网络访问和互联网连接。
修复
创建笔记本实例后，您无法更改VPC设置。相反，您可以停止、删除和重新创建实例。有关说明，请参阅《Amazon SageMaker 开发者指南》中的 “使用笔记本实例构建模型：清理”。
[SageMaker.3] 用户不应拥有 SageMaker 笔记本实例的 root 访问权限
相关要求：NIST.800-53.r5 AC-2 (1)、.800-53.r5 AC-3 (15)、.800-53.r5 AC-3 (7)、NIST .800-53.r5 AC-6、.800-53.r5 AC-6、.800-53.r5 AC-6 (10)、NIST .800-53.r5 AC-6 (2) NIST NIST NIST
类别：保护 > 安全访问管理 >根用户访问限制
严重性：高
资源类型：AWS::SageMaker::NotebookInstance
Amazon Config 规则：sagemaker-notebook-instance-root-access-check
计划类型：已触发变更
参数：无
此控件检查是否为 Amazon SageMaker 笔记本实例开启了根访问权限。如果为 SageMaker 笔记本实例开启了根访问权限，则控制失败。
根据最低权限原则，建议的安全最佳实践是限制根用户对实例资源的访问权限，以避免无意中过度预置权限。
修复
要限制对 SageMaker 笔记本实例的根访问权限，请参阅 Amazon SageMaker 开发者指南中的控制 SageMaker 笔记本实例的根访问权限。
[SageMaker.4] SageMaker 端点生产变体的初始实例数应大于 1
相关要求：NIST.800-53.r5 CP-10、.800-53.r5 SC-5、.800-53.r5 SC-36、NIST .800-53.r5 SA-13 NIST NIST
类别：恢复 > 弹性 > 高可用性
严重性：中
资源类型：AWS::SageMaker::EndpointConfig
Amazon Config 规则：sagemaker-endpoint-config-prod-instance-count
计划类型：定期
参数：无
此控件会检查 Amazon SageMaker 终端节点的生产变体的初始实例数是否大于 1。如果端点的生产变体只有 1 个初始实例，则控制失败。
在实例数大于 1 的情况下运行的生产变体允许由SageMaker管理的多可用区实例冗余。跨多个可用区部署资源是在您的架构中提供高可用性 Amazon 的最佳实践。高可用性可帮助您从安全事件中恢复。
注意
此控件仅适用于基于实例的端点配置。
修复
有关终端节点配置参数的更多信息，请参阅 Amazon SageMaker 开发者指南中的创建终端节点配置。