Connexion d’Amazon SageMaker Studio dans un VPC à des ressources externes

Vous devez utiliser des sous-réseaux privés uniquement. Vous ne pouvez pas utiliser de sous-réseaux publics en mode VpcOnly.

Assurez-vous que vos sous-réseaux disposent du nombre requis d'adresses IP. Le nombre prévu d'adresses IP nécessaires par utilisateur peut varier en fonction du cas d'utilisation. Nous recommandons entre 2 et 4 adresses IP par utilisateur. La capacité d’adresse IP totale d’un domaine est la somme des adresses IP disponibles pour chaque sous-réseau fourni lors de la création du domaine. Veillez à ce que votre utilisation estimée d’adresses IP ne dépasse pas la capacité prise en charge par le nombre de sous-réseaux que vous fournissez. En outre, l'utilisation de sous-réseaux répartis dans de nombreuses zones de disponibilité peut favoriser la disponibilité d'adresses IP. Pour plus d’informations, consultez Dimensionnement des VPC et des sous-réseaux pour IPv4.

Configurez un ou plusieurs groupes de sécurité avec des règles entrantes et sortantes qui autorisent le trafic suivant :

Créez un groupe de sécurité distinct pour chaque profil utilisateur et ajoutez un accès entrant à partir de ce même groupe de sécurité. Nous déconseillons de réutiliser un groupe de sécurité au niveau du domaine pour les profils utilisateur. Si le groupe de sécurité au niveau du domaine autorise l'accès entrant à lui-même, toutes les applications figurant dans le domaine auront accès à toutes les autres applications du domaine.

Si vous souhaitez autoriser l’accès à Internet, vous devez utiliser une passerelle NAT avec accès Internet, par exemple via une passerelle Internet.

Si vous ne souhaitez pas autoriser l'accès à Internet, créez des points de terminaison de VPC d'interface (AWS PrivateLink) pour permettre à Studio d'accéder aux services suivants avec les noms de service correspondants. Vous devez également associer les groupes de sécurité pour votre VPC à ces points de terminaison.

Si vous utilisez le kit SageMaker Python SDK pour exécuter des tâches d'entraînement à distance, vous devez également créer les points de terminaison Amazon VPC suivants.

Si vous utilisez le domaine en mode VpcOnly depuis un réseau sur site, établissez une connectivité privée entre le réseau de l’hôte exécutant Studio dans le navigateur et le réseau Amazon VPC cible. Cela est nécessaire, car l’interface utilisateur de Studio invoque les points de terminaison AWS en utilisant des appels d’API avec des informations d’identification AWS temporaires. Ces informations d’identification temporaires sont associées au rôle d’exécution du profil utilisateur connecté. Si le domaine est configuré en mode VpcOnly dans un réseau sur site, le rôle d’exécution peut définir des conditions de politique IAM qui appliquent l’exécution des appels d’API des services AWS uniquement via les points de terminaison Amazon VPC configurés. Cela entraîne l’échec des appels d’API exécutés depuis l’interface utilisateur de Studio. Nous vous recommandons de résoudre ce problème à l’aide d’une connexion AWS Site-to-Site VPN ou AWS Direct Connect.