Primerki prenosnih računalnikov Amazon SageMaker zdaj podpirajo konfiguriranje in omejevanje različic IMDS

Danes z veseljem to objavljamo Amazon SageMaker zdaj podpira možnost konfiguriranja Instance Metadata Service Version 2 (IMDSv2) za primerke Notebook in za skrbnike, da nadzirajo minimalno različico, s katero končni uporabniki ustvarjajo nove primerke Notebook. Zdaj lahko izberete IMDSv2 samo za vaše nove in obstoječe primerke prenosnika SageMaker, da izkoristite najnovejšo zaščito in podporo, ki jo zagotavlja IMDSv2.

Metapodatki primerka so podatki o vašem primerku, ki jih lahko uporabite za konfiguracijo ali upravljanje delujočega primerka, tako da zagotovite začasne in pogosto menjane poverilnice, do katerih lahko dostopa samo programska oprema, ki se izvaja na primerku. IMDS naredi metapodatke o instanci, kot sta njeno omrežje in shramba, na voljo prek posebnega naslova IP lokalne povezave 169.254.169.254. IMDS lahko uporabite na svojih primerkih prenosnika SageMaker, podobno kot bi uporabili IMDS na Amazonski elastični računalniški oblak (Amazon EC2) primerek. Za podrobno dokumentacijo glejte Metapodatki primerka in uporabniški podatki.

Izdaja IMDSv2 doda dodatno raven zaščite z uporabo avtentikacije seje. Pri IMDSv2 se vsaka seja začne z zahtevo PUT do IMDSv2 za pridobitev varnega žetona s časom poteka, ki je lahko najmanj 1 sekunda in največ 6 ur. Vsaka nadaljnja zahteva GET v IMDS mora poslati nastali žeton kot glavo, da lahko prejme uspešen odgovor. Ko določeno trajanje poteče, je za prihodnje zahteve potreben nov žeton.

Vzorec klica IMDSv1 izgleda kot naslednja koda:

curl http://169.254.169.254/latest/meta-data/profile

Z IMDSv2 je klic videti kot naslednja koda:

TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"`  curl http://169.254.169.254/latest/meta-data/profile -H "X-aws-ec2-metadata-token: $TOKEN"

Sprejetje IMDSv2 in nastavitev kot najnižje različice ponuja različne varnostne prednosti pred IMDSv1. IMDSv2 ščiti pred neomejenimi konfiguracijami požarnega zidu spletne aplikacije (WAF), odprtimi povratnimi proxyji, ranljivostmi SSRF (Server-Side Request Forgery) ter odprtimi požarnimi zidovi 3. sloja in NAT-ji, ki bi se lahko uporabili za dostop do metapodatkov primerka. Za podrobno primerjavo glej Dodajte poglobljeno obrambo pred odprtimi požarnimi zidovi, povratnimi proxyji in ranljivostmi SSRF z izboljšavami storitve metapodatkov primerka EC2.

V tej objavi vam pokažemo, kako konfigurirate svoje prenosnike SageMaker samo s podporo za IMDSv2. Delimo tudi načrt podpore za IMDSv1 in kako lahko uveljavite IMDSv2 v svojih prenosnikih.

Kaj je novega s podporo za IMDSv2 in SageMaker

Zdaj lahko konfigurirate različico IMDS primerkov prenosnika SageMaker med ustvarjanjem ali posodabljanjem primerka, kar lahko storite prek API-ja SageMaker ali konzole SageMaker, z minimalnim parametrom različice IMDS. Najmanjša različica IMDS določa najmanjšo podprto različico. Nastavitev na vrednost 1 omogoča podporo za IMDSv1 in IMDSv2, nastavitev minimalne različice na 2 pa podpira samo IMDSv2. Z prenosnim računalnikom, ki podpira samo IMDSv2, lahko izkoristite dodatno globinsko obrambo, ki jo zagotavlja IMDSv2.

Nudimo tudi a Ključ pogojev SageMaker za pravilnike IAM ki vam omogoča, da omejite različico IMDS za primerke prenosnih računalnikov prek CreateNotebookInstance in UpdateNotebookInstance API klici. Skrbniki lahko s tem pogojnim ključem omejijo svoje končne uporabnike na ustvarjanje in/ali posodabljanje zvezkov samo za podporo IMDSv2. Ta ključ pogoja lahko dodate v AWS upravljanje identitete in dostopa (IAM), priložen uporabnikom, vlogam ali skupinam IAM, odgovornim za ustvarjanje in posodabljanje zvezkov.

Poleg tega lahko preklapljate med konfiguracijami različice IMDS z minimalnim parametrom različice IMDS v SageMakerju UpdateNotebookInstance API.

Podpora za konfiguriranje različice IMDS in omejevanje različice IMDS samo na v2 je zdaj na voljo v vseh regijah AWS, v katerih so na voljo primerki prenosnika SageMaker.

Načrt podpore za različice IMDS na primerkih prenosnika SageMaker

1. junija 2022 smo uvedli podporo za nadzor najmanjše različice IMDS, ki se uporablja s primerki prenosnih računalnikov Amazon SageMaker. Vsi primerki prenosnih računalnikov, ki so bili lansirani pred 1. junijem 2022, bodo imeli privzeto najmanjšo različico nastavljeno na 1. Imeli boste možnost posodobitve minimalne različice na 2 z uporabo API-ja SageMaker ali konzole.

Konfigurirajte različico IMDS na vašem primerku prenosnika SageMaker

Najmanjšo različico IMDS za prenosnik SageMaker lahko konfigurirate prek konzole AWS SageMaker (glejte Ustvari primerek zvezka), SDK ali Vmesnik ukazne vrstice AWS (AWS CLI). To je izbirna konfiguracija s privzeto vrednostjo 1, kar pomeni, da bo primerek prenosnega računalnika podpiral klice IMDSv1 in IMDSv2.

Ko ustvarjate nov primerek zvezka na konzoli SageMaker, imate zdaj to možnost Najmanjša različica IMDS da določite najmanjšo podprto različico IMDS, kot je prikazano na naslednjem posnetku zaslona. Če je vrednost nastavljena na 1, sta podprta tako IMDSv1 kot IMDSv2. Če je vrednost nastavljena na 2, je podprt samo IMDSv2.

Prav tako lahko uredite obstoječi primerek zvezka, da bo podpiral IMDSv2 samo s konzolo SageMaker, kot je prikazano na naslednjem posnetku zaslona.

Privzeta vrednost bo ostala 1 do 31. avgusta 2022 in se bo 2. avgusta 31 preklopila na 2022.

Ko uporabljate AWS CLI za ustvarjanje zvezka, lahko uporabite MinimumInstanceMetadataServiceVersion parameter za nastavitev najmanjše podprte različice IMDS:

   "InstanceMetadataServiceConfiguration": {
      "MinimumInstanceMetadataServiceVersion": "string"
      //Valid Inputs: "1","2"
   }

Sledi vzorčni ukaz AWS CLI za ustvarjanje primerka prenosnega računalnika samo s podporo za IMDSv2:

aws sagemaker create-notebook-instance     --region region 
    --notebook-instance-name my-imds-v2-instance 
    --instance-type ml.t3.medium     --role-arn sagemaker-execution-role-arn 
    --instance-metadata-service-configuration MinimumInstanceMetadataServiceVersion=2

Če želite posodobiti obstoječo beležnico tako, da bo podpirala samo IMDSv2, lahko to storite z uporabo UpdateNotebookInstance API-ji:

aws sagemaker update-notebook-instance     --region region 
    --notebook-instance-name my-existing-instance-name 
    --instance-metadata-service-configuration MinimumInstanceMetadataServiceVersion=2

Uveljavi IMDSv2 za vse primerke prenosnika SageMaker

S ključem pogoja lahko uveljavite, da lahko vaši uporabniki ustvarjajo ali posodabljajo samo primerke prenosnika, ki podpirajo samo IMDSv2, da povečate varnost. Ta ključ pogoja lahko uporabite v pravilnikih IAM, ki so priloženi uporabnikom, vlogam ali skupinam IAM, odgovornim za ustvarjanje in posodabljanje zvezkov, ali AWS organizacije politike nadzora storitev.

Sledi vzorčna izjava o pravilniku, ki omejuje API-je za ustvarjanje in posodabljanje primerka prenosnega računalnika, tako da omogoča samo IMDSv2:

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Sid": "AllowSagemakerWithIMDSv2Only",
            "Effect": "Allow",
            "Action":
            [
                "sagemaker:CreateNotebookInstance",
                "sagemaker:UpdateNotebookInstance"
            ],
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "sagemaker:MinimumInstanceMetadataServiceVersion": "2"
                }
            }
        }
    ]
}

zaključek

Danes smo objavili podporo za konfiguracijo in administrativno omejevanje vaše različice Instance Metadata Service (IMDS) za primerke prenosnih računalnikov. Pokazali smo vam, kako konfigurirati različico IMDS za svoje nove in obstoječe prenosnike s pomočjo konzole SageMaker in AWS CLI. Pokazali smo vam tudi, kako administrativno omejiti različice IMDS z uporabo ključev pogojev IAM, in razpravljali o prednostih podpore samo IMDSv2.

Če imate kakršna koli vprašanja ali povratne informacije o IMDSv2, se obrnite na kontaktno osebo za podporo AWS ali objavite sporočilo v Amazon EC2 in Amazon SageMaker forumi za razprave.

O avtorjih

Apoorva Gupta je programski inženir v ekipi SageMaker Notebooks. Osredotočena je na omogočanje strankam, da učinkoviteje izkoristijo SageMaker v vseh vidikih svojih operacij ML. Pri Amazon SageMaker Notebooks sodeluje od leta 2021. V prostem času rada bere, slika, vrtnari, kuha in potuje.

Durga Sury je arhitekt rešitev ML v skupini Amazon SageMaker Service SA. Navdušena je nad tem, da bi strojno učenje postalo dostopno vsem. V svojih 3 letih pri AWS je pomagala vzpostaviti platforme AI/ML za poslovne stranke. Pred AWS je neprofitnim in vladnim agencijam omogočila pridobivanje vpogledov iz njihovih podatkov za izboljšanje izobraževalnih rezultatov. Ko ni v službi, obožuje vožnje z motorjem, skrivnostne romane in pohode s svojim štiriletnim haskijem.

Siddhanth Deshpande je vodja inženiringa pri Amazon Web Services (AWS). Trenutno se osredotoča na izgradnjo najboljše upravljane infrastrukture strojnega učenja (ML) in storitev orodij, katerih cilj je, da stranke hitro in enostavno prevedejo od »moram uporabljati ML« do »uspešno uporabljam ML«. Za AWS je delal od leta 2013 v različnih inženirskih vlogah in razvijal storitve AWS, kot so Amazon Simple Notification Service, Amazon Simple Queue Service, Amazon EC2, Amazon Pinpoint in Amazon SageMaker. V prostem času rad preživlja čas z družino, bere, kuha, vrtnari in potuje po svetu.

Prashant Pawan Pisipati je glavni produktni vodja pri Amazon Web Services (AWS). Izdelal je različne izdelke v AWS in Alexa, trenutno pa je osredotočen na pomoč izvajalcem strojnega učenja, da so bolj produktivni prek storitev AWS.

Edwin Bejarano je programski inženir v ekipi SageMaker Notebooks. Je veteran letalskih sil, ki od leta 2017 dela za Amazon s prispevki k storitvam, kot so AWS Lambda, Amazon Pinpoint, Amazon Tax Exemption Program in Amazon SageMaker. V prostem času uživa v branju, pohodništvu, kolesarjenju in igranju video igric.

• Coinsmart. Najboljša evropska borza bitcoinov in kriptovalut.
• Platoblockchain. Web3 Metaverse Intelligence. Razširjeno znanje. PROST DOSTOP.
• CryptoHawk. Altcoin radar. Brezplačen preizkus.
• Vir: https://aws.amazon.com/blogs/machine-learning/amazon-sagemaker-notebook-instances-now-support-configuring-and-restricting-imds-versions/