Verschlüsseln Sie Ihre SageMaker Canvas-Daten mit AWS KMS

Möglicherweise haben Sie Daten, die Sie verschlüsseln möchten, während Sie Amazon SageMaker Canvas verwenden, z. B. Ihre privaten Unternehmensinformationen oder Kundendaten. SageMaker Canvas verwendet AWS Key Management Service, um Ihre Daten zu schützen. AWS KMS ist ein Service, mit dem Sie kryptografische Schlüssel zur Verschlüsselung Ihrer Daten erstellen und verwalten können. Weitere Informationen zu AWS KMS finden Sie unter AWS Key Management Service im AWS KMS-Entwickler-Leitfaden.

Amazon SageMaker Canvas bietet Ihnen mehrere Optionen zum Verschlüsseln Ihrer Daten. SageMaker Canvas bietet eine Standardverschlüsselung innerhalb der Anwendung für Aufgaben wie die Erstellung Ihres Modells und die Generierung von Erkenntnissen. Sie können sich auch dafür entscheiden, in Amazon S3 gespeicherte Daten zu verschlüsseln, um Ihre ruhenden Daten zu schützen. SageMaker Canvas unterstützt den Import verschlüsselter Datensätze, sodass Sie einen verschlüsselten Workflow einrichten können. In den folgenden Abschnitten wird beschrieben, wie Sie AWS KMS Verschlüsselung verwenden können, um Ihre Daten beim Erstellen von Modellen mit SageMaker Canvas zu schützen.

Verschlüsseln Sie Ihre Daten in SageMaker Canvas

Mit SageMaker Canvas können Sie zwei verschiedene AWS KMS Verschlüsselungsschlüssel verwenden, um Ihre Daten in SageMaker Canvas zu verschlüsseln, die Sie bei der Einrichtung Ihrer Domain mit der Standard-Domaineinrichtung angeben können. Diese Schlüssel werden in den folgenden Schritten zur Einrichtung der Domain angegeben:

Die obigen Schlüssel können dieselben oder unterschiedliche KMS-Schlüssel sein.

Voraussetzungen

Um Ihren eigenen KMS-Schlüssel für einen der zuvor beschriebenen Zwecke zu verwenden, müssen Sie zunächst der IAM-Rolle Ihres Benutzers die Berechtigung zur Verwendung des Schlüssels erteilen. Anschließend können Sie den KMS-Schlüssel bei der Einrichtung Ihrer Domain angeben.

Die einfachste Methode, Ihrer Rolle die Erlaubnis zur Verwendung des Schlüssels zu erteilen, besteht darin, die Schlüsselrichtlinie zu ändern. Gehen Sie wie folgt vor, um Ihrer Rolle die erforderlichen Berechtigungen zu erteilen.

Die weniger bevorzugte Methode besteht darin, die IAM-Rolle des Benutzers so zu ändern, dass dem Benutzer Berechtigungen zur Verwendung oder Verwaltung des KMS-Schlüssels erteilt werden. Wenn Sie diese Methode verwenden, muss die KMS-Schlüsselrichtlinie auch die Zugriffsverwaltung über IAM zulassen. Informationen zum Erteilen von Berechtigungen für einen KMS-Schlüssel über die IAM-Rolle des Benutzers finden Sie im AWS KMSEntwicklerhandbuch unter Angabe von KMS-Schlüsseln in IAM-Richtlinienerklärungen.

Verschlüsseln Sie Ihre Daten in der SageMaker Canvas-Anwendung

Der erste KMS-Schlüssel, den Sie in SageMaker Canvas verwenden können, wird für die Verschlüsselung von Anwendungsdaten verwendet, die auf Volumes von Amazon Elastic Block Store (Amazon EBS) und im Amazon Elastic File System gespeichert sind, das SageMaker AI in Ihrer Domain erstellt. SageMaker Canvas verschlüsselt Ihre Daten mit diesem Schlüssel in der zugrunde liegenden Anwendung und den temporären Speichersystemen, die bei der Verwendung von Rechen-Instances für die Erstellung von Modellen und die Generierung von Erkenntnissen erstellt werden. SageMaker Canvas gibt den Schlüssel an andere AWS Services weiter, z. B. Autopilot, wenn SageMaker Canvas mit ihnen Jobs zur Verarbeitung Ihrer Daten initiiert.

Sie können diesen Schlüssel angeben, indem Sie die KmsKeyID im CreateDomain-API-Aufruf oder bei der Einrichtung der Standarddomain in der Konsole festlegen. Wenn Sie keinen eigenen KMS-Schlüssel angeben, verwendet SageMaker AI einen standardmäßigen, von AWS verwalteten KMS-Schlüssel, um Ihre Daten in der SageMaker-Canvas-Anwendung zu verschlüsseln.

Um Ihren eigenen KMS-Schlüssel für die Verwendung in der SageMaker Canvas-Anwendung über die Konsole anzugeben, richten Sie zunächst Ihre Domain von Amazon SageMaker AI mit der Standardeinrichtung ein. Gehen Sie wie folgt vor, um den Bereich Netzwerk und Speicher für die Domain auszufüllen.

Verschlüsseln Sie Ihre in Amazon S3 gespeicherten SageMaker Canvas-Daten

Der zweite KMS-Schlüssel, den Sie angeben können, wird für Daten verwendet, die SageMaker Canvas in Amazon S3 speichert. Dieser KMS-Schlüssel wird im S3KMSKeyId-Feld im CreateDomain-API-Aufruf oder bei der Standard-Domaineinrichtung in der SageMaker-AI-Konsole angegeben. SageMaker Canvas speichert Duplikate Ihrer Eingabedatensätze, Anwendungs- und Modelldaten sowie Ausgabedaten im standardmäßigen Bucket von SageMaker AI S3 der Region für Ihr Konto. Das Benennungsmuster für diesen Bucket lautet s3://sagemaker-{Region}-{your-account-id}, und SageMaker Canvas speichert Daten in dem Canvas/-Ordner.

Importieren verschlüsselter Datensätze aus Amazon S3

Ihre Benutzer haben möglicherweise Datensätze, die mit einem KMS-Schlüssel verschlüsselt wurden. Im vorherigen Abschnitt wird zwar gezeigt, wie Sie Daten in SageMaker Canvas und in Amazon S3 gespeicherte Daten verschlüsseln, aber Sie müssen der IAM-Rolle Ihres Benutzers zusätzliche Berechtigungen gewähren, wenn Sie Daten aus Amazon S3 importieren möchten, die bereits mit AWS KMS verschlüsselt sind.

Um Ihren Benutzern Berechtigungen zum Importieren verschlüsselter Datensätze aus Amazon S3 in SageMaker Canvas zu gewähren, fügen Sie der IAM-Ausführungsrolle, die Sie für das Benutzerprofil verwendet haben, die folgenden Berechtigungen hinzu.

      "kms:Decrypt",
      "kms:GenerateDataKey"
   

Wie Sie die IAM-Berechtigungen für eine Rolle bearbeiten können, erfahren Sie unter Hinzufügen und Entfernen von IAM-Identitätsberechtigungen im IAM-Benutzerhandbuch. Weitere Informationen über KMS-Schlüssel finden Sie unter Schlüsselrichtlinien in AWS Key Management Service im AWS KMS-Entwicklerhandbuch.

Häufig gestellte Fragen

In den folgenden FAQs finden Sie Antworten auf häufig gestellte Fragen zur Unterstützung von SageMaker Canvas AWS KMS.