Amazon SageMaker 노트북 인스턴스는 이제 IMDS 버전 PlatoBlockchain Data Intelligence 구성 및 제한을 지원합니다. 수직 검색. 일체 포함.

Amazon SageMaker 노트북 인스턴스, 이제 IMDS 버전 구성 및 제한 지원

타임 스탬프 : 2 년 2022 월 6 일 오후 02:XNUMX

오늘, 우리는 아마존 세이지 메이커 이제 노트북 인스턴스에 대해 IMDSv2(인스턴스 메타데이터 서비스 버전 2)를 구성하고 최종 사용자가 새 노트북 인스턴스를 생성하는 데 사용하는 최소 버전을 관리자가 제어할 수 있는 기능을 지원합니다. 이제 신규 및 기존 SageMaker 노트북 인스턴스에 대해서만 IMDSv2를 선택하여 IMDSv2에서 제공하는 최신 보호 및 지원을 활용할 수 있습니다.

인스턴스 메타데이터 인스턴스에서 실행 중인 소프트웨어에서만 액세스할 수 있는 임시 자격 증명과 자주 교체되는 자격 증명을 제공하여 실행 중인 인스턴스를 구성하거나 관리하는 데 사용할 수 있는 인스턴스에 대한 데이터입니다. IMDS는 네트워크 및 스토리지와 같은 인스턴스에 대한 메타데이터를 다음의 특수 링크 로컬 IP 주소를 통해 사용할 수 있도록 합니다. 169.254.169.254. IMDS를 SageMaker 노트북 인스턴스에서 사용하는 것과 유사하게 IMDS를 사용할 수 있습니다. 아마존 엘라스틱 컴퓨트 클라우드 (Amazon EC2) 인스턴스. 자세한 문서는 다음을 참조하십시오. 인스턴스 메타데이터 및 사용자 데이터.

IMDSv2의 릴리스는 세션 인증을 사용하여 추가 보호 계층을 추가합니다. IMDSv2를 사용하면 각 세션은 보안 토큰을 얻기 위해 IMDSv2에 대한 PUT 요청으로 시작하며 만료 시간은 최소 1초에서 최대 6시간입니다. IMDS에 대한 후속 GET 요청은 성공적인 응답을 수신하기 위해 결과 토큰을 헤더로 보내야 합니다. 지정된 기간이 만료되면 향후 요청을 위해 새 토큰이 필요합니다.

샘플 IMDSv1 호출은 다음 코드와 같습니다.

curl http://169.254.169.254/latest/meta-data/profile

IMDSv2에서 호출은 다음 코드와 같습니다.

TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"`  curl http://169.254.169.254/latest/meta-data/profile -H "X-aws-ec2-metadata-token: $TOKEN"

IMDSv2를 채택하고 최소 버전으로 설정하면 IMDSv1에 비해 다양한 보안 이점을 제공합니다. IMDSv2는 무제한 WAF(웹 애플리케이션 방화벽) 구성, 개방형 역방향 프록시, SSRF(서버 측 요청 위조) 취약성, 인스턴스 메타데이터에 액세스하는 데 사용할 수 있는 개방형 계층 3 방화벽 및 NAT로부터 보호합니다. 자세한 비교는 다음을 참조하십시오. EC2 인스턴스 메타데이터 서비스의 개선 사항을 통해 개방형 방화벽, 역방향 프록시 및 SSRF 취약성에 대한 심층 방어 추가.

이 게시물에서는 IMDSv2만 지원하는 SageMaker 노트북을 구성하는 방법을 보여줍니다. 또한 IMDSv1에 대한 지원 계획과 노트북에서 IMDSv2를 적용하는 방법도 공유합니다.

IMDSv2 지원 및 SageMaker의 새로운 기능

이제 최소 IMDS 버전 매개변수를 사용하여 SageMaker API 또는 SageMaker 콘솔을 통해 수행할 수 있는 인스턴스를 생성하거나 업데이트하는 동안 SageMaker 노트북 인스턴스의 IMDS 버전을 구성할 수 있습니다. 최소 IMDS 버전은 지원되는 최소 버전을 지정합니다. 값을 1로 설정하면 IMDSv1과 IMDSv2를 모두 지원하고 최소 버전을 2로 설정하면 IMDSv2만 지원합니다. IMDSv2 전용 노트북을 사용하면 IMDSv2가 제공하는 심층 방어를 추가로 활용할 수 있습니다.

우리는 또한 제공합니다 IAM 정책에 대한 SageMaker 조건 키 이를 통해 노트북 인스턴스의 IMDS 버전을 제한할 수 있습니다. 노트북 인스턴스 생성 및 업데이트노트북인스턴스 API 호출. 관리자는 이 조건 키를 사용하여 최종 사용자가 IMDSv2만 지원하도록 노트북을 생성 및/또는 업데이트하도록 제한할 수 있습니다. 이 조건 키를 추가할 수 있습니다. AWS 자격 증명 및 액세스 관리 (IAM) 노트북 생성 및 업데이트를 담당하는 IAM 사용자, 역할 또는 그룹에 연결된 정책.

또한 SageMaker에서 최소 IMDS 버전 매개변수를 사용하여 IMDS 버전 구성 간에 전환할 수도 있습니다. 업데이트노트북인스턴스 API.

IMDS 버전 구성 및 IMDS 버전을 v2로만 제한하는 지원은 이제 SageMaker 노트북 인스턴스를 사용할 수 있는 모든 AWS 리전에서 사용할 수 있습니다.

SageMaker 노트북 인스턴스의 IMDS 버전 지원 계획

1년 2022월 1일에 Amazon SageMaker 노트북 인스턴스와 함께 사용할 IMDS의 최소 버전을 제어하기 위한 지원을 출시했습니다. 2022년 1월 2일 이전에 시작된 모든 노트북 인스턴스의 기본 최소 버전은 XNUMX로 설정됩니다. SageMaker API 또는 콘솔을 사용하여 최소 버전을 XNUMX로 업데이트할 수 있는 옵션이 있습니다.

SageMaker 노트북 인스턴스에서 IMDS 버전 구성

AWS SageMaker 콘솔을 통해 SageMaker 노트북의 최소 IMDS 버전을 구성할 수 있습니다(참조 노트북 인스턴스 생성), SDK 또는 AWS 명령 줄 인터페이스 (AWS CLI). 이것은 선택적인 구성으로, 기본값은 1로 설정되며, 이는 노트북 인스턴스가 IMDSv1 및 IMDSv2 호출을 모두 지원함을 의미합니다.

SageMaker 콘솔에서 새 노트북 인스턴스를 생성할 때 이제 옵션이 제공됩니다. 최소 IMDS 버전 다음 스크린샷과 같이 지원되는 최소 IMDS 버전을 지정합니다. 값을 1로 설정하면 IMDSv1과 IMDSv2가 모두 지원됩니다. 값을 2로 설정하면 IMDSv2만 지원됩니다.

노트북-인스턴스-스크린샷 만들기

다음 스크린샷과 같이 SageMaker 콘솔을 사용하여 IMDSv2만 지원하도록 기존 노트북 인스턴스를 편집할 수도 있습니다.

편집-노트북-인스턴스-스크린샷

기본값은 1년 31월 2022일까지 2로 유지되고 31년 2022월 XNUMX일에 XNUMX로 전환됩니다.

AWS CLI를 사용하여 노트북을 생성할 때 다음을 사용할 수 있습니다. MinimumInstanceMetadataServiceVersion 지원되는 최소 IMDS 버전을 설정하는 매개변수:

   "InstanceMetadataServiceConfiguration": {
      "MinimumInstanceMetadataServiceVersion": "string"
      //Valid Inputs: "1","2"
   }

다음은 IMDSv2만 지원하는 노트북 인스턴스를 생성하는 샘플 AWS CLI 명령입니다.

aws sagemaker create-notebook-instance     --region region 
    --notebook-instance-name my-imds-v2-instance 
    --instance-type ml.t3.medium     --role-arn sagemaker-execution-role-arn 
    --instance-metadata-service-configuration MinimumInstanceMetadataServiceVersion=2

IMDSv2만 지원하도록 기존 노트북을 업데이트하려면 다음을 사용하여 수행할 수 있습니다. 업데이트노트북인스턴스 API :

aws sagemaker update-notebook-instance     --region region 
    --notebook-instance-name my-existing-instance-name 
    --instance-metadata-service-configuration MinimumInstanceMetadataServiceVersion=2

모든 SageMaker 노트북 인스턴스에 대해 IMDSv2 적용

조건 키를 사용하여 보안을 강화하기 위해 사용자가 IMDSv2만 지원하는 노트북 인스턴스만 생성하거나 업데이트할 수 있도록 할 수 있습니다. 노트북 생성 및 업데이트를 담당하는 IAM 사용자, 역할 또는 그룹에 연결된 IAM 정책에서 이 조건 키를 사용할 수 있습니다. AWS 조직 서비스 제어 정책.

다음은 IMDSv2만 허용하도록 노트북 인스턴스 API 생성 및 업데이트를 모두 제한하는 샘플 정책 설명입니다.

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Sid": "AllowSagemakerWithIMDSv2Only",
            "Effect": "Allow",
            "Action":
            [
                "sagemaker:CreateNotebookInstance",
                "sagemaker:UpdateNotebookInstance"
            ],
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "sagemaker:MinimumInstanceMetadataServiceVersion": "2"
                }
            }
        }
    ]
}

결론

오늘 우리는 노트북 인스턴스용 IMDS(인스턴스 메타데이터 서비스) 버전 구성 및 관리 제한에 대한 지원을 발표했습니다. SageMaker 콘솔과 AWS CLI를 사용하여 새 노트북과 기존 노트북에 대해 IMDS 버전을 구성하는 방법을 보여 주었습니다. 또한 IAM 조건 키를 사용하여 IMDS 버전을 관리적으로 제한하는 방법을 보여주고 IMDSv2만 지원하는 이점에 대해 논의했습니다.

IMDSv2에 대한 질문이나 피드백이 있는 경우 AWS 지원 담당자에게 문의하거나 다음 페이지에 메시지를 게시하십시오. Amazon EC2 및 아마존 세이지 메이커 토론 포럼.

저자에 관하여

Amazon SageMaker 노트북 인스턴스는 이제 IMDS 버전 PlatoBlockchain Data Intelligence 구성 및 제한을 지원합니다. 수직 검색. 일체 포함. 아푸르바 굽타 SageMaker 노트북 팀의 소프트웨어 엔지니어입니다. 그녀의 초점은 고객이 ML 작업의 모든 측면에서 SageMaker를 보다 효과적으로 활용할 수 있도록 하는 것입니다. 그녀는 2021년부터 Amazon SageMaker 노트북에 기여하고 있습니다. 여가 시간에는 독서, 그림 그리기, 정원 가꾸기, 요리, 여행을 즐깁니다.

Amazon SageMaker 노트북 인스턴스는 이제 IMDS 버전 PlatoBlockchain Data Intelligence 구성 및 제한을 지원합니다. 수직 검색. 일체 포함.두르가 수리 Amazon SageMaker Service SA 팀의 ML 솔루션 설계자입니다. 그녀는 모든 사람이 기계 학습에 액세스할 수 있도록 하는 데 열정적입니다. AWS에서 3년 동안 엔터프라이즈 고객을 위한 AI/ML 플랫폼 설정을 도왔습니다. AWS 이전에 그녀는 비영리 및 정부 기관이 데이터에서 통찰력을 도출하여 교육 결과를 개선할 수 있도록 지원했습니다. 그녀는 일을 하지 않을 때 오토바이 타기, 미스터리 소설, XNUMX살 된 허스키와 함께 하이킹을 좋아합니다.

Amazon SageMaker 노트북 인스턴스는 이제 IMDS 버전 PlatoBlockchain Data Intelligence 구성 및 제한을 지원합니다. 수직 검색. 일체 포함.싯단트 데쉬판데 Amazon Web Services(AWS)의 엔지니어링 관리자입니다. 그의 현재 초점은 "ML을 사용해야 합니다"에서 "ML을 성공적으로 사용하고 있습니다"로 고객을 빠르고 쉽게 유도하는 것을 목표로 하는 동급 최고의 관리형 머신 러닝(ML) 인프라 및 도구 서비스를 구축하는 것입니다. 그는 2013년부터 AWS에서 Amazon Simple Notification Service, Amazon Simple Queue Service, Amazon EC2, Amazon Pinpoint 및 Amazon SageMaker와 같은 AWS 서비스를 개발하면서 다양한 엔지니어링 역할에서 근무했습니다. 여가 시간에는 가족과 함께 책을 읽고, 요리하고, 정원을 가꾸고, 세계 여행을 하며 시간을 보내는 것을 즐깁니다.

Amazon SageMaker 노트북 인스턴스는 이제 IMDS 버전 PlatoBlockchain Data Intelligence 구성 및 제한을 지원합니다. 수직 검색. 일체 포함.프라샨트 파완 피시파티 Amazon Web Services(AWS)의 수석 제품 관리자입니다. 그는 AWS와 Alexa 전반에 걸쳐 다양한 제품을 구축했으며 현재는 AWS 서비스를 통해 기계 학습 실무자들의 생산성을 높이는 데 주력하고 있습니다.

Amazon SageMaker 노트북 인스턴스는 이제 IMDS 버전 PlatoBlockchain Data Intelligence 구성 및 제한을 지원합니다. 수직 검색. 일체 포함.에드윈 베자라노 SageMaker 노트북 팀의 소프트웨어 엔지니어입니다. 그는 AWS Lambda, Amazon Pinpoint, Amazon Tax Exemption Program 및 Amazon SageMaker와 같은 서비스에 기여하면서 2017년부터 Amazon에서 근무한 공군 베테랑입니다. 여가 시간에는 독서, 하이킹, 자전거 타기, 비디오 게임을 즐깁니다.

타임 스탬프 :

더보기 AWS 기계 학습