本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
亚马逊 SageMaker 控制
这些控制措施与 SageMaker 资源有关。
这些控件可能并非全部可用 Amazon Web Services 区域。有关更多信息，请参阅 按地区划分的控件可用性。
[SageMaker.1] Amazon SageMaker 笔记本实例不应直接访问互联网
相关要求：PCI DSS v3.2.1/1.2.1, PCI DSS v3.2.1/1.3.1, PCI DSS v3.2.1/1.3.2, PCI DSS v3.2.1/1.3.4, PCI DSS v3.2.1/1.3.6, NIST.800-53.r5 AC-21, NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3(7), NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4(21), NIST.800-53.r5 AC-6, NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7(11), NIST.800-53.r5 SC-7(16), NIST.800-53.r5 SC-7(20), NIST.800-53.r5 SC-7(21), NIST.800-53.r5 SC-7(3), NIST.800-53.r5 SC-7(4), NIST.800-53.r5 SC-7(9)
类别：保护 > 安全网络配置
严重性：高
资源类型：AWS::SageMaker::NotebookInstance
Amazon Config 规则：sagemaker-notebook-no-direct-internet-access
计划类型：定期
参数：无
此控件检查 SageMaker 笔记本实例是否禁用了直接互联网接入。如果为笔记本实例启用了该DirectInternetAccess字段，则控件将失败。
如果您在不使用 VPC 的情况下配置 SageMaker 实例，则默认情况下，您的实例将启用直接互联网访问。您应该使用 VPC 配置实例，并将默认设置变更为禁用——通过 VPC 访问 Internet。要使用笔记本电脑训练或托管模型，您需要访问 Internet。要启用互联网访问，您的 VPC 必须具有接口终端节点 (Amazon PrivateLink) 或 NAT 网关，以及允许出站连接的安全组。要详细了解如何将笔记本实例连接到 VPC 中的资源，请参阅《Amazon SageMaker 开发者指南》中的将笔记本实例连接到 VPC 中的资源。您还应确保只有经过授权的用户才能访问您的 SageMaker 配置。限制允许用户更改 SageMaker 设置和资源的 IAM 权限。
修复
在创建笔记本实例后，您无法变更 Internet 访问设置。相反，您可以停止、删除和重新创建 Internet 访问受阻的实例。要删除允许直接访问互联网的笔记本实例，请参阅 Amazon SageMaker 开发者指南中的使用笔记本实例构建模型：清理。要重新创建拒绝 Internet 访问的笔记本实例，请参阅创建笔记本实例。对于网络，直接访问Internet，选择禁用-通过 VPC 访问 Internet。
[SageMaker.2] SageMaker 笔记本实例应在自定义 VPC 中启动
相关要求：NIST.800-53.r5 AC-21、NIST.800-53.r5 AC-3、NIST.800-53.r5 AC-3(7)、NIST.800-53.r5 AC-4、NIST.800-53.r5 AC-4(21)、NIST.800-53.r5 AC-6、NIST.800-53.r5 SC-7、NIST.800-53.r5 SC-7(11)、NIST.800-53.r5 SC-7(16)、NIST.800-53.r5 SC-7(20)、NIST.800-53.r5 SC-7(21)、NIST.800-53.r5 SC-7(3)、NIST.800-53.r5 SC-7(4)、NIST.800-53.r5 SC-7(9)。
类别：保护 > 安全网络配置 > VPC 内的资源
严重性：高
资源类型：AWS::SageMaker::NotebookInstance
Amazon Config 规则：sagemaker-notebook-instance-inside-vpc
计划类型：已触发变更
参数：无
此控件检查是否在自定义虚拟私有云 (VPC) 中启动了 Amazon SageMaker 笔记本实例。如果 SageMaker 笔记本实例未在自定义 VPC 内启动或在 SageMaker 服务 VPC 中启动，则此控制失败。
子网是 VPC 内的一系列 IP 地址。我们建议尽可能将资源保留在自定义 VPC 内，以确保为您的基础设施提供安全的网络保护。Amazon VPC 是专用于您的虚拟网络 Amazon Web Services 账户。使用 Amazon VPC，您可以控制 SageMaker Studio 和笔记本实例的网络访问和互联网连接。
修复
在创建笔记本实例后，您无法变更 VPC 设置。相反，您可以停止、删除和重新创建实例。有关说明，请参阅 Amazon SageMaker 开发者指南中的使用笔记本实例构建模型：清理。
[SageMaker.3] 用户不应拥有 SageMaker 笔记本实例的 root 访问权限
相关要求：NIST.800-53.r5 AC-2(1)、NIST.800-53.r5 AC-3(15)、NIST.800-53.r5 AC-3(7)、NIST.800-53.r5 AC-6、NIST.800-53.r5 AC-6(10)、NIST.800-53.r5 AC-6(2)
类别：保护 > 安全访问管理 >根用户访问限制
严重性：高
资源类型：AWS::SageMaker::NotebookInstance
Amazon Config 规则：sagemaker-notebook-instance-root-access-check
计划类型：已触发变更
参数：无
此控件检查是否为 Amazon SageMaker 笔记本实例开启了根访问权限。如果为 SageMaker 笔记本实例开启了根访问权限，则控制失败。
根据最低权限原则，建议的安全最佳实践是限制根用户对实例资源的访问权限，以避免无意中过度预置权限。
修复
要限制对 SageMaker 笔记本实例的根访问权限，请参阅 Amazon SageMaker 开发者指南中的控制 SageMaker 笔记本实例的根访问权限。