Erste Schritte mit dem lokalen Modus

In den folgenden Abschnitten werden die Schritte beschrieben, die für den Einstieg in den lokalen Modus in Amazon SageMaker Studio unternommen werden müssen, darunter:

Voraussetzungen

Erfüllen Sie die folgenden Voraussetzungen, um den lokalen Modus in Studio-Anwendungen zu verwenden:

Festlegen von EnableDockerAccess

In den folgenden Abschnitten wird beschrieben, wie Sie EnableDockerAccess festlegen, wenn die Domain über öffentlichen Internetzugang verfügt oder sich im Modus VPC-only befindet.

Öffentlicher Internetzugang

Die folgenden Beispielbefehle veranschaulichen, wie Sie EnableDockerAccess beim Erstellen einer neuen Domain oder beim Aktualisieren einer bestehenden Domain mit öffentlichem Internetzugang festlegen:

# create new domain
aws --region region \
    sagemaker create-domain --domain-name domain-name \
    --vpc-id vpc-id \
    --subnet-ids subnet-ids \
    --auth-mode IAM \
    --default-user-settings "ExecutionRole=execution-role" \
    --domain-settings '{"DockerSettings": {"EnableDockerAccess": "ENABLED"}}' \
    --query DomainArn \
    --output text

# update domain
aws --region region \
    sagemaker update-domain --domain-id domain-id \
    --domain-settings-for-update '{"DockerSettings": {"EnableDockerAccess": "ENABLED"}}'

VPC-only Modus

Wenn Sie eine Domain im VPC-only-Modus verwenden, werden Image-Push- und Pull-Anfragen von Docker über die Service-VPC und nicht über die vom Kunden konfigurierte VPC weitergeleitet. Aufgrund dieser Funktionalität können Administratoren eine Liste vertrauenswürdiger AWS-Konten konfigurieren, an die Benutzer Push- und Pull-Anfragen von Amazon ECR Docker durchführen können.

Wenn eine Image-Push- und Pull-Anfragen von Docker an ein AWS-Konto gesendet wird, der nicht in der Liste der vertrauenswürdigen AWS-Konten enthalten ist, schlägt die Anfrage fehl. Pull- und Push-Vorgänge von Docker außerhalb von Amazon Elastic Container Registry (Amazon ECR) werden im Modus nicht unterstützt.

Die folgenden werden AWS-Konten standardmäßig als vertrauenswürdig eingestuft:

Um eine Liste weiterer vertrauenswürdiger AWS-Konten zu konfigurieren, geben Sie den VpcOnlyTrustedAccounts-Wert wie folgt an:

aws --region region \
    sagemaker update-domain --domain-id domain-id \
    --domain-settings-for-update '{"DockerSettings": {"EnableDockerAccess": "ENABLED", "VpcOnlyTrustedAccounts": ["account-list"]}}'

Rootless-Docker-Konfiguration

Wenn RootlessDocker aktiviert ist, verwendet Studio einen Rootless-Docker-Daemon, der den Datenverkehr über Ihre VPC weiterleitet. Dies bietet erhöhte Sicherheit und ermöglicht den Zugriff auf zusätzliche Docker-Registrierungen. Die wichtigsten Unterschiede zu RootlessDocker sind:

Um Rootless Docker zu verwenden, müssen Sie und EnableDockerAccess und RootlessDocker auf ENABLEDfür Ihre DockerSettings festlegen. In den obigen Festlegen von EnableDockerAccess-Beispielen können Sie beispielsweise Ihre Domain-Einstellungen so ändern, dass sie Folgendes beinhalten:

'{"DockerSettings": {"EnableDockerAccess": "ENABLED", "RootlessDocker": "ENABLED"}}'

Docker-Installation

Zur Verwendung von Docker müssen Sie Docker manuell vom Terminal Ihrer Studio-Anwendung aus installieren. Die Schritte zur Installation von Docker unterscheiden sich, je nachdem, ob die Domain Zugang zum Internet hat oder nicht.

Internetzugang

Wenn die Domain mit öffentlichem Internetzugang oder im VPC-only-Modus mit eingeschränktem Internetzugang erstellt wurde, befolgen Sie die Schritte zur Installation von Docker.

Kein Internetzugang

Wenn die Domain im VPC-only-Modus ohne Internetzugang erstellt wurde, befolgen Sie die Schritte zur Installation von Docker.