Comment mon conteneur SageMaker accède-t-il aux données Amazon S3 et transmet-il les journaux à CloudWatch lorsque j'active l'isolement réseau ?

Résolution

Lorsque vous activez l'isolement réseau, SageMaker accède à Amazon S3 et CloudWatch indépendamment des conteneurs de formation ou d'inférence. Si vous ne spécifiez pas d'Amazon Virtual Private Cloud (Amazon VPC), l'accès aux données et la journalisation se produit côté serveur. Dans ce cas, le conteneur ne peut pas accéder au réseau.

Lorsque vous spécifiez VpcConfig dans votre configuration de formation, de traitement ou de modèle, SageMaker crée deux interfaces réseau Elastic dans l'Amazon VPC spécifié. L’intégralité du trafic est acheminé via ces deux interfaces réseau Elastic dans le VPC spécifié. Une interface réseau Elastic est destinée au conteneur d'algorithme et l'autre à Amazon S3. Si vous spécifiez un Amazon VPC dans VpcConfig, le paramètre d'isolement réseau ne crée pas l'interface réseau Elastic pour le conteneur d'algorithme. Cela empêche le conteneur de recevoir tous les appels réseau sortants. L'autre interface réseau Elastic demeure et vous pouvez l'utiliser pour accéder à Amazon S3.

Dans les deux cas, les processus internes de SageMaker qui s'exécutent sur les nœuds téléchargent les données. Ensuite, les canaux d'entrée que vous avez spécifiés dans la définition de tâche mettent ces données à la disposition du conteneur d'algorithme. De plus, les processus internes qui s'exécutent sur le nœud mettent les journaux et les métriques à la disposition de CloudWatch. Ces nœuds se connectent à CloudWatch via le VPC géré par SageMaker.

Que vous indiquiez VpcConfig ou non, le conteneur n'a accès à aucune information d'identification AWS pour effectuer des appels d'API vers les services AWS.

Informations connexes

Isolement réseau