Instans Notebook Amazon SageMaker sekarang mendukung konfigurasi dan pembatasan versi IMDS

Hari ini, kami senang mengumumkannya Amazon SageMaker sekarang mendukung kemampuan untuk mengonfigurasi Instance Metadata Service Version 2 (IMDSv2) untuk Instans Notebook, dan bagi administrator untuk mengontrol versi minimum yang digunakan pengguna akhir untuk membuat Instans Notebook baru. Sekarang Anda dapat memilih IMDSv2 hanya untuk Instans Notebook SageMaker yang baru dan yang sudah ada untuk memanfaatkan perlindungan dan dukungan terbaru yang disediakan oleh IMDSv2.

Metadata instan adalah data tentang instans Anda yang dapat Anda gunakan untuk mengonfigurasi atau mengelola instans yang berjalan, dengan memberikan kredensial sementara dan sering dirotasi yang hanya dapat diakses oleh perangkat lunak yang berjalan pada instans. IMDS membuat metadata tentang instans, seperti jaringan dan penyimpanannya, tersedia melalui alamat IP tautan-lokal khusus dari 169.254.169.254. Anda dapat menggunakan IMDS pada Instans Notebook SageMaker, serupa dengan cara Anda menggunakan IMDS pada Cloud komputasi elastis Amazon (Amazon EC2) contoh. Untuk dokumentasi terperinci, lihat Metadata instans dan data pengguna.

Rilis IMDSv2 menambahkan lapisan perlindungan tambahan menggunakan otentikasi sesi. Dengan IMDSv2, setiap sesi dimulai dengan permintaan PUT ke IMDSv2 untuk mendapatkan token yang aman, dengan waktu kedaluwarsa, yang dapat minimal 1 detik dan maksimal 6 jam. Setiap permintaan GET berikutnya ke IMDS harus mengirim token yang dihasilkan sebagai header, untuk menerima respons yang berhasil. Ketika durasi yang ditentukan berakhir, token baru diperlukan untuk permintaan di masa mendatang.

Contoh panggilan IMDSv1 terlihat seperti kode berikut:

curl http://169.254.169.254/latest/meta-data/profile

Dengan IMDSv2, panggilan terlihat seperti kode berikut:

TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"`  curl http://169.254.169.254/latest/meta-data/profile -H "X-aws-ec2-metadata-token: $TOKEN"

Mengadopsi IMDSv2 dan menetapkannya sebagai versi minimum menawarkan berbagai manfaat keamanan dibandingkan IMDSv1. IMDSv2 melindungi dari konfigurasi Firewall Aplikasi Web (WAF) yang tidak dibatasi, proxy terbalik terbuka, kerentanan Server-Side Request Forgery (SSRF), dan firewall dan NAT lapisan 3 terbuka yang dapat digunakan untuk mengakses metadata instans. Untuk perbandingan terperinci, lihat Tambahkan pertahanan secara mendalam terhadap firewall terbuka, proxy terbalik, dan kerentanan SSRF dengan penyempurnaan pada Layanan Metadata Instans EC2.

Dalam posting ini, kami menunjukkan kepada Anda cara mengonfigurasi notebook SageMaker Anda dengan dukungan IMDSv2 saja. Kami juga membagikan paket dukungan untuk IMDSv1, dan bagaimana Anda dapat menerapkan IMDSv2 di notebook Anda.

Apa yang baru dengan dukungan IMDSv2 dan SageMaker

Anda sekarang dapat mengonfigurasi versi IMDS dari Instans Notebook SageMaker saat membuat atau memperbarui instans, yang dapat Anda lakukan melalui SageMaker API atau Konsol SageMaker, dengan parameter versi IMDS minimum. Versi IMDS minimum menentukan versi minimum yang didukung. Menyetel ke nilai 1 memungkinkan dukungan untuk IMDSv1 dan IMDSv2, dan menyetel versi minimum ke 2 hanya mendukung IMDSv2. Dengan notebook khusus IMDSv2, Anda dapat memanfaatkan pertahanan tambahan secara mendalam yang disediakan IMDSv2.

Kami juga menyediakan Kunci kondisi SageMaker untuk kebijakan IAM yang memungkinkan Anda membatasi versi IMDS untuk Instans Notebook melalui Buat Instance Buku Catatan dan PerbaruiNotebookInstance panggilan API. Administrator dapat menggunakan kunci kondisi ini untuk membatasi pengguna akhir mereka untuk membuat dan/atau memperbarui buku catatan untuk mendukung IMDSv2 saja. Anda dapat menambahkan kunci kondisi ini ke Identitas AWS dan Manajemen Akses (IAM) kebijakan yang melekat pada pengguna IAM, peran atau grup yang bertanggung jawab untuk membuat dan memperbarui buku catatan.

Selain itu, Anda juga dapat beralih di antara konfigurasi versi IMDS menggunakan parameter versi IMDS minimum di SageMaker PerbaruiNotebookInstance API.

Dukungan untuk mengonfigurasi versi IMDS dan membatasi versi IMDS ke v2 saja kini tersedia di semua Wilayah AWS tempat Instans Notebook SageMaker tersedia.

Paket dukungan untuk versi IMDS di Instans Notebook SageMaker

Pada tanggal 1 Juni 2022, kami meluncurkan dukungan untuk mengontrol versi minimum IMDS untuk digunakan dengan Instans Notebook Amazon SageMaker. Semua Instans Notebook yang diluncurkan sebelum 1 Juni 2022 akan memiliki versi minimum default yang disetel ke 1. Anda akan memiliki opsi untuk memperbarui versi minimum ke 2 menggunakan SageMaker API atau konsol.

Konfigurasikan versi IMDS di Instans Notebook SageMaker Anda

Anda dapat mengonfigurasi versi IMDS minimum untuk notebook SageMaker melalui konsol AWS SageMaker (lihat Buat Mesin Virtual Notebook), SDK, atau Antarmuka Baris Perintah AWS (AWS CLI). Ini adalah konfigurasi opsional, dengan nilai default disetel ke 1, artinya instans notebook akan mendukung panggilan IMDSv1 dan IMDSv2.

Saat membuat instance notebook baru di konsol SageMaker, Anda sekarang memiliki opsi Versi IMDS minimal untuk menentukan versi IMDS minimum yang didukung, seperti yang ditunjukkan pada tangkapan layar berikut. Jika nilai diatur ke 1, baik IMDSv1 dan IMDSv2 didukung. Jika nilainya disetel ke 2, hanya IMDSv2 yang didukung.

Anda juga dapat mengedit instans notebook yang ada untuk mendukung IMDSv2 hanya menggunakan konsol SageMaker, seperti yang ditunjukkan pada tangkapan layar berikut.

Nilai default akan tetap 1 hingga 31 Agustus 2022, dan akan beralih ke 2 pada 31 Agustus 2022.

Saat menggunakan AWS CLI untuk membuat buku catatan, Anda dapat menggunakan MinimumInstanceMetadataServiceVersion parameter untuk mengatur versi IMDS minimum yang didukung:

   "InstanceMetadataServiceConfiguration": {
      "MinimumInstanceMetadataServiceVersion": "string"
      //Valid Inputs: "1","2"
   }

Berikut adalah contoh perintah AWS CLI untuk membuat instans notebook dengan dukungan IMDSv2 saja:

aws sagemaker create-notebook-instance     --region region 
    --notebook-instance-name my-imds-v2-instance 
    --instance-type ml.t3.medium     --role-arn sagemaker-execution-role-arn 
    --instance-metadata-service-configuration MinimumInstanceMetadataServiceVersion=2

Jika Anda ingin memperbarui notebook yang ada untuk mendukung IMDSv2 saja, Anda dapat melakukannya menggunakan PerbaruiNotebookInstance Lebah:

aws sagemaker update-notebook-instance     --region region 
    --notebook-instance-name my-existing-instance-name 
    --instance-metadata-service-configuration MinimumInstanceMetadataServiceVersion=2

Terapkan IMDSv2 untuk semua Instans Notebook SageMaker

Anda dapat menggunakan kunci kondisi untuk memastikan bahwa pengguna Anda hanya dapat membuat atau memperbarui Instans Notebook yang hanya mendukung IMDSv2, untuk meningkatkan keamanan. Anda dapat menggunakan kunci kondisi ini dalam kebijakan IAM yang dilampirkan ke pengguna IAM, peran, atau grup yang bertanggung jawab untuk membuat dan memperbarui buku catatan, atau Organisasi AWS kebijakan kontrol layanan.

Berikut adalah contoh pernyataan kebijakan yang membatasi pembuatan dan pembaruan API instance notebook untuk mengizinkan IMDSv2 saja:

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Sid": "AllowSagemakerWithIMDSv2Only",
            "Effect": "Allow",
            "Action":
            [
                "sagemaker:CreateNotebookInstance",
                "sagemaker:UpdateNotebookInstance"
            ],
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "sagemaker:MinimumInstanceMetadataServiceVersion": "2"
                }
            }
        }
    ]
}

Kesimpulan

Hari ini, kami mengumumkan dukungan untuk mengonfigurasi dan membatasi versi Layanan Metadata Instans (IMDS) Anda secara administratif untuk Instans Notebook. Kami menunjukkan kepada Anda cara mengonfigurasi versi IMDS untuk notebook baru dan yang sudah ada menggunakan konsol SageMaker dan AWS CLI. Kami juga menunjukkan kepada Anda cara membatasi versi IMDS secara administratif menggunakan kunci kondisi IAM, dan membahas keuntungan hanya mendukung IMDSv2.

Jika Anda memiliki pertanyaan dan umpan balik mengenai IMDSv2, silakan hubungi kontak dukungan AWS Anda atau kirimkan pesan di Amazon EC2 dan Amazon SageMaker Forum Diskusi.

Tentang Penulis

Apoorva Gupta adalah Insinyur Perangkat Lunak di tim Notebook SageMaker. Fokusnya adalah memungkinkan pelanggan untuk memanfaatkan SageMaker secara lebih efektif dalam semua aspek operasi ML mereka. Dia telah berkontribusi pada Notebook Amazon SageMaker sejak tahun 2021. Di waktu luangnya, dia suka membaca, melukis, berkebun, memasak, dan bepergian.

Durga Surya adalah Arsitek Solusi ML di tim SA Amazon SageMaker Service. Dia bersemangat membuat pembelajaran mesin dapat diakses oleh semua orang. Selama 3 tahun di AWS, dia telah membantu menyiapkan platform AI/ML untuk pelanggan perusahaan. Sebelum AWS, dia memungkinkan lembaga nonprofit dan pemerintah memperoleh wawasan dari data mereka untuk meningkatkan hasil pendidikan. Saat tidak bekerja, dia suka naik sepeda motor, novel misteri, dan mendaki bersama huskynya yang berusia empat tahun.

Siddhanth Deshpande adalah Manajer Teknik di Amazon Web Services (AWS). Fokusnya saat ini adalah membangun infrastruktur dan layanan peralatan Machine Learning (ML) terkelola terbaik di kelasnya yang bertujuan untuk mendapatkan pelanggan dari "Saya perlu menggunakan ML" menjadi "Saya berhasil menggunakan ML" dengan cepat dan mudah. Dia telah bekerja untuk AWS sejak 2013 dalam berbagai peran teknik, mengembangkan layanan AWS seperti Amazon Simple Notification Service, Amazon Simple Queue Service, Amazon EC2, Amazon Pinpoint, dan Amazon SageMaker. Di waktu luangnya, ia menikmati menghabiskan waktu bersama keluarganya, membaca, memasak, berkebun, dan berkeliling dunia.

Prashant Pawan Pisipati adalah Manajer Produk Utama di Amazon Web Services (AWS). Dia telah membangun berbagai produk di AWS dan Alexa, dan saat ini berfokus untuk membantu praktisi Machine Learning menjadi lebih produktif melalui layanan AWS.

Edwin Bejarano adalah Insinyur Perangkat Lunak di tim Notebook SageMaker. Dia adalah seorang veteran Angkatan Udara yang telah bekerja untuk Amazon sejak 2017 dengan kontribusi pada layanan seperti AWS Lambda, Amazon Pinpoint, Program Pembebasan Pajak Amazon, dan Amazon SageMaker. Di waktu luangnya, ia senang membaca, mendaki gunung, bersepeda, dan bermain video game.

• Coinsmart. Pertukaran Bitcoin dan Crypto Terbaik Eropa.
• Platoblockchain. Intelijen Metaverse Web3. Pengetahuan Diperkuat. AKSES GRATIS.
• CryptoHawk. Radar Altcoin. Uji Coba Gratis.
• Sumber: https://aws.amazon.com/blogs/machine-learning/amazon-sagemaker-notebook-instances-now-support-configuring-and-restricting-imds-versions/