SageMaker AI ノートブックインスタンスで KMS 暗号化を設定する方法を教えてください。

簡単な説明

SageMaker AI Notebook インスタンスは、AWS KMS キーを使用してストレージボリュームを暗号化することによるノートブックデータの保護をサポートしています。

注: この記事の手順を完了するには、既存の KMS キーが必要です。

解決策

SageMaker AI Notebook インスタンスは、AWS KMS キーを使用してストレージボリュームを暗号化することによるノートブックデータの保護をサポートしています。

重要: AWS キーの暗号化を設定するには、既存の KMS キーが必要です。

KMS キーは新規 SageMaker AI ノートブックインスタンスにのみ追加できます。次の手順を実行します。

1. SageMaker AI コンソールを開きます。

2. ナビゲーションペインで [ノートブック] を選択します。

3. [ノートブックインスタンスの作成] を選択し、ノートブックインスタンスの名前を入力します。

4. [アクセス許可] セクションの [暗号化キー] で、ドロップダウンリストから該当する AWS KMS キーを選択します。または、ARN を入力します。
   注: ロールにキーに対する十分なアクセス許可があることを確認します。

   例:

   {
   "Version": "2012-10-17",
       "Statement": [
           {
               "Action": [
                   "kms:CreateGrant",
                   "kms:Decrypt",
                   "kms:GenerateDataKey",
                   "kms:GenerateDataKeyWithoutPlaintext",
                   "kms:DescribeKey"
               ],
               "Resource": [
                 "<KMS key ARN>"
               ],
               "Effect": "Allow"
           }
       ]
   }

5. 他の設定をレビューした後、[ノートブックインスタンスを作成] を選択します。

カスタム AWS KMS キーを既存の SageMaker AI Notebook インスタンスに追加したり、キーを編集したりするには、ノートブックインスタンスのバックアップを作成します。次に、バックアップの同期先とする新しいノートブックインスタンスを作成します。次の手順を実行します。

1. 「Amazon Linux 2 を使用する Amazon SageMaker ノートブックインスタンスに作業内容を移行する」に記載されている手順を実行します。
   注:「考慮事項」セクションを確認してください。
2. 同期が完了したら、新しいノートブックインスタンスを起動し、コンテンツが同期されていることを確認します。

注: AWS KMS キーが指定されていないノートブックインスタンスでは、SageMaker AI はシステムマネージド KMS キーを使用してストレージボリュームを暗号化します。