Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuración de Studio para que se ejecute con subredes sin acceso a Internet dentro de una VPC

Esta guía le muestra cómo conectarse a los espacios de Amazon SageMaker Studio desde su IDE remoto cuando su dominio de Amazon SageMaker AI se ejecuta en subredes privadas sin acceso a Internet. También se enumeran los requisitos de conectividad y las opciones de configuración para establecer conexiones remotas seguras en entornos de red aislados.

Puede configurar Amazon SageMaker Studio para que se ejecute solo en modo VPC con subredes sin acceso a Internet. Esta configuración mejora la seguridad de sus cargas de trabajo de machine learning al operar en un entorno de red aislado en el que todo el tráfico fluye a través de la VPC. Para habilitar las comunicaciones externas y, al mismo tiempo, mantener la seguridad, utilice los puntos finales de la VPC para los AWS servicios y configure la PrivateLink VPC para las dependencias necesarias. AWS

Soporte IDE para conexiones de subredes privadas

La siguiente tabla muestra los métodos de conexión compatibles con cada IDE remoto cuando se conecta a espacios de Studio en subredes privadas sin acceso a Internet.

Requisitos de red del acceso remoto a Studio

Limitaciones del modo VPC: Studio en el modo VPC solo admite subredes privadas. Studio no funciona con las subredes conectadas directamente a una puerta de enlace de Internet. Las conexiones IDE remotas comparten las mismas limitaciones que la IA. SageMaker Para obtener más información, consulte Conexión de cuadernos de Studio en una VPC a recursos externos.

Requisitos de VPC PrivateLink

Cuando la SageMaker IA se ejecute en subredes privadas, configure estos puntos de enlace de VPC de SSM además de los puntos de enlace de VPC estándar necesarios para ello. SageMaker Para obtener más información, consulte Conexión de Studio a través de un punto de conexión de VPC.

Recomendaciones de políticas de puntos finales de VPC

Las siguientes son las políticas de puntos finales de VPC recomendadas que permiten realizar las acciones necesarias para el acceso remoto y, al mismo tiempo, utilizan la aws:PrincipalIsAWSService condición para garantizar que solo AWS servicios como Amazon SageMaker AI puedan realizar las llamadas. Para obtener más información sobre la clave de aws:PrincipalIsAWSService condición, consulta la documentación.

Política de puntos finales de SSM

Utilice la siguiente política para el com.amazonaws.REGION.ssm punto final:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "ssm:CreateActivation",
                "ssm:RegisterManagedInstance",
                "ssm:DeleteActivation",
                "ssm:DeregisterManagedInstance",
                "ssm:AddTagsToResource",
                "ssm:UpdateInstanceInformation",
                "ssm:UpdateInstanceAssociationStatus",
                "ssm:DescribeInstanceInformation",
                "ssm:ListInstanceAssociations",
                "ssm:ListAssociations",
                "ssm:GetDocument",
                "ssm:PutInventory"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:PrincipalIsAWSService": "true"
                }
            }
        }
    ]
}

Política de puntos finales de SSM Messages

Utilice la siguiente política para el com.amazonaws.REGION.ssmmessages punto final:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:PrincipalIsAWSService": "true"
                }
            }
        }
    ]
}

Requisitos de red específicos de Visual Studio Code

La conexión remota de Visual Studio Code requiere el desarrollo remoto de Visual Studio Code, que requiere un acceso de red específico para instalar el servidor remoto y las extensiones. Consulte las preguntas frecuentes sobre el desarrollo remoto en la documentación de Visual Studio Code para ver todos los requisitos de red. A continuación se proporciona un resumen de los requisitos:

Requisitos de red específicos de Kiro

La conexión remota de Kiro requiere el desarrollo remoto de Kiro, que necesita un acceso a la red específico para instalar el servidor remoto y las extensiones. Para obtener información sobre la configuración del firewall y el servidor proxy, consulte Configuración del firewall de Kiro. Los requisitos son similares a los de VS Code:

Configuración de la red de acceso remoto de Studio

Dispone de las siguientes opciones para conectar su IDE remoto a los espacios de Studio en subredes privadas:

Configuración del proxy HTTP con una lista de permisos controlada

Cuando tu espacio de Studio esté protegido por un firewall o un proxy, permite el acceso a tu servidor IDE y a los puntos finales y relacionados con las extensiones CDNs .

Configure un servidor remoto y extensiones preempaquetados (solo en VS Code)

Si sus espacios de Studio no pueden acceder a puntos de conexión externos para descargar el servidor remoto y las extensiones de Visual Studio Code, puede preempaquetarlos. Con este enfoque, se exporta un archivo tarball que contiene el directorio .VS Code-server de una versión específica de Visual Studio Code. A continuación, se utiliza un script de configuración del ciclo de vida de la SageMaker IA (LCC) para copiar y extraer el archivo tar en el directorio principal (/home/sagemaker-user) de los espacios de Studio. Esta solución basada en LCC funciona tanto AWS con imágenes personalizadas como proporcionadas por usted. Incluso si no utiliza subredes privadas, este enfoque acelera la configuración del servidor remoto de Visual Studio Code y las extensiones preinstaladas.

Instrucciones para preempaquetar su servidor remoto de Visual Studio Code y las extensiones