Amazon SageMaker Notebook Bulut Sunucuları artık IMDS sürümlerinin yapılandırılmasını ve kısıtlanmasını destekliyor

Bugün, bunu duyurmaktan heyecan duyuyoruz Amazon Adaçayı Yapıcı artık, Dizüstü Bilgisayar Örnekleri için Örnek Meta Veri Hizmeti Sürüm 2'yi (IMDSv2) yapılandırma ve yöneticilerin, son kullanıcıların yeni Dizüstü Bilgisayar Örnekleri oluşturduğu minimum sürümü denetleme yeteneğini desteklemektedir. IMDSv2 tarafından sağlanan en son koruma ve destekten yararlanmak için artık IMDSv2'yi yalnızca yeni ve mevcut SageMaker Notebook Bulut Sunucularınız için seçebilirsiniz.

Örnek meta verileri yalnızca örnek üzerinde çalışan yazılım tarafından erişilebilen geçici ve sık sık döndürülen kimlik bilgileri sağlayarak, çalışan örneği yapılandırmak veya yönetmek için kullanabileceğiniz örneğiniz hakkındaki verilerdir. IMDS, ağı ve depolaması gibi örnekle ilgili meta verileri, özel bir yerel bağlantı IP adresi aracılığıyla kullanılabilir hale getirir. 169.254.169.254. IMDS'yi, bir bilgisayarda IMDS'yi nasıl kullandığınıza benzer şekilde, SageMaker Dizüstü Bilgisayar Örneklerinizde kullanabilirsiniz. Amazon Elastik Bilgi İşlem Bulutu (Amazon EC2) örneği. Ayrıntılı belgeler için bkz. Örnek meta verileri ve kullanıcı verileri.

IMDSv2'nin piyasaya sürülmesi, oturum kimlik doğrulamasını kullanarak ek bir koruma katmanı ekler. IMDSv2 ile her oturum, minimum 2 saniye ve maksimum 1 saat olabilen bir sona erme süresi olan güvenli bir belirteç almak için IMDSv6'ye bir PUT isteği ile başlar. IMDS'ye yapılan sonraki herhangi bir GET isteği, başarılı bir yanıt alabilmek için ortaya çıkan belirteci bir başlık olarak göndermelidir. Belirtilen süre sona erdiğinde, gelecekteki istekler için yeni bir belirteç gerekir.

Örnek bir IMDSv1 çağrısı aşağıdaki koda benzer:

curl http://169.254.169.254/latest/meta-data/profile

IMDSv2 ile çağrı aşağıdaki koda benzer:

TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"`  curl http://169.254.169.254/latest/meta-data/profile -H "X-aws-ec2-metadata-token: $TOKEN"

IMDSv2'yi benimsemek ve minimum sürüm olarak ayarlamak, IMDSv1'e göre çeşitli güvenlik avantajları sunar. IMDSv2, sınırsız Web Uygulaması Güvenlik Duvarı (WAF) yapılandırmalarına, açık ters proxy'lere, Sunucu Tarafı İstek Sahteciliği (SSRF) güvenlik açıklarına ve örnek meta verilerine erişmek için kullanılabilecek açık katman 3 güvenlik duvarlarına ve NAT'lara karşı koruma sağlar. Ayrıntılı bir karşılaştırma için bkz. EC2 Instance Metadata Service geliştirmeleriyle açık güvenlik duvarlarına, ters proxy'lere ve SSRF güvenlik açıklarına karşı derinlemesine savunma ekleyin.

Bu gönderide, SageMaker not defterlerinizi yalnızca IMDSv2 desteğiyle nasıl yapılandıracağınızı gösteriyoruz. Ayrıca IMDSv1 için destek planını ve IMDSv2'yi dizüstü bilgisayarlarınızda nasıl uygulayabileceğinizi de paylaşıyoruz.

IMDSv2 desteği ve SageMaker'daki yenilikler

Minimum IMDS sürüm parametresi ile SageMaker API veya SageMaker Konsolu aracılığıyla yapabileceğiniz örneği oluştururken veya güncellerken artık SageMaker Notebook Instances'ın IMDS sürümünü yapılandırabilirsiniz. Minimum IMDS sürümü, desteklenen minimum sürümü belirtir. 1 değerine ayarlamak hem IMDSv1 hem de IMDSv2 desteğine izin verir ve minimum sürümü 2 olarak ayarlamak yalnızca IMDSv2'yi destekler. Yalnızca IMDSv2'ye özel bir dizüstü bilgisayarla, IMDSv2'nin sağladığı derinlemesine ek savunmadan yararlanabilirsiniz.

Biz de bir IAM politikaları için SageMaker koşul anahtarı aracılığıyla Dizüstü Bilgisayar Bulut Sunucuları için IMDS sürümünü kısıtlamanıza olanak tanır. Not Defteri Örneği Oluştur ve Not DefteriÖrneği Güncelle API çağrıları. Yöneticiler, son kullanıcılarını yalnızca IMDSv2'yi desteklemek üzere not defterleri oluşturma ve/veya güncelleme konusunda kısıtlamak için bu koşul anahtarını kullanabilir. Bu koşul anahtarını AWS Kimlik ve Erişim Yönetimi Not defterlerinin oluşturulmasından ve güncellenmesinden sorumlu IAM kullanıcılarına, rollere veya gruplara eklenen (IAM) politikası.

Ek olarak, SageMaker'daki minimum IMDS sürüm parametresini kullanarak IMDS sürüm yapılandırmaları arasında da geçiş yapabilirsiniz. Not DefteriÖrneği Güncelle API.

IMDS sürümünü yapılandırma ve IMDS sürümünü yalnızca v2 ile kısıtlama desteği artık SageMaker Dizüstü Bilgisayar Örneklerinin mevcut olduğu tüm AWS Bölgelerinde mevcuttur.

SageMaker Dizüstü Bilgisayar Örneklerinde IMDS sürümleri için destek planı

1 Haziran 2022'de, Amazon SageMaker Notebook Bulut Sunucuları ile kullanılacak minimum IMDS sürümünün denetlenmesine yönelik desteği kullanıma sunduk. 1 Haziran 2022'den önce başlatılan tüm Dizüstü Bilgisayar Örneklerinde varsayılan minimum sürüm 1 olarak ayarlanacaktır. SageMaker API'sini veya konsolu kullanarak minimum sürümü 2'ye güncelleme seçeneğiniz olacaktır.

SageMaker Notebook Bulut Sunucunuzda IMDS sürümünü yapılandırın

SageMaker dizüstü bilgisayar için minimum IMDS sürümünü AWS SageMaker konsolu aracılığıyla yapılandırabilirsiniz (bkz. Not Defteri Örneği Oluşturma), SDK veya AWS Komut Satırı Arayüzü (AWS CLI). Bu isteğe bağlı bir yapılandırmadır ve varsayılan değeri 1 olarak ayarlanır; bu, dizüstü bilgisayar örneğinin hem IMDSv1 hem de IMDSv2 çağrılarını destekleyeceği anlamına gelir.

SageMaker konsolunda yeni bir not defteri örneği oluştururken artık şu seçeneğiniz var: Minimum IMDS sürümü Aşağıdaki ekran görüntüsünde gösterildiği gibi, desteklenen minimum IMDS sürümünü belirtmek için. Değer 1 olarak ayarlanırsa hem IMDSv1 hem de IMDSv2 desteklenir. Değer 2 olarak ayarlanırsa yalnızca IMDSv2 desteklenir.

Aşağıdaki ekran görüntüsünde gösterildiği gibi, yalnızca SageMaker konsolunu kullanarak IMDSv2'yi desteklemek için mevcut bir dizüstü bilgisayar örneğini de düzenleyebilirsiniz.

Varsayılan değer 1 Ağustos 31'ye kadar 2022 olarak kalacak ve 2 Ağustos 31'de 2022 olarak değişecek.

Bir not defteri oluşturmak için AWS CLI'yi kullanırken, MinimumInstanceMetadataServiceVersion desteklenen minimum IMDS sürümünü ayarlamak için parametre:

   "InstanceMetadataServiceConfiguration": {
      "MinimumInstanceMetadataServiceVersion": "string"
      //Valid Inputs: "1","2"
   }

Aşağıda, yalnızca IMDSv2 desteğine sahip bir dizüstü bilgisayar bulut sunucusu oluşturmaya yönelik örnek bir AWS CLI komutu verilmiştir:

aws sagemaker create-notebook-instance     --region region 
    --notebook-instance-name my-imds-v2-instance 
    --instance-type ml.t3.medium     --role-arn sagemaker-execution-role-arn 
    --instance-metadata-service-configuration MinimumInstanceMetadataServiceVersion=2

Mevcut bir not defterini yalnızca IMDSv2'yi destekleyecek şekilde güncellemek istiyorsanız, bunu Not DefteriÖrneği Güncelle API:

aws sagemaker update-notebook-instance     --region region 
    --notebook-instance-name my-existing-instance-name 
    --instance-metadata-service-configuration MinimumInstanceMetadataServiceVersion=2

Tüm SageMaker Dizüstü Bilgisayar Örnekleri için IMDSv2'yi zorunlu kılın

Güvenliği artırmak için, kullanıcılarınızın yalnızca IMDSv2'yi destekleyen Dizüstü Bilgisayar Örnekleri oluşturmasını veya güncellemesini zorunlu kılmak için bir koşul anahtarı kullanabilirsiniz. Bu koşul anahtarını, not defterlerini oluşturmaktan ve güncellemekten sorumlu IAM kullanıcılarına, rollere veya gruplara eklenmiş IAM politikalarında kullanabilirsiniz veya AWS Kuruluşları hizmet kontrol politikaları.

Aşağıda, not defteri örneği API'lerini yalnızca IMDSv2'ye izin verecek şekilde oluşturmayı ve güncellemeyi kısıtlayan örnek bir ilke ifadesi yer almaktadır:

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Sid": "AllowSagemakerWithIMDSv2Only",
            "Effect": "Allow",
            "Action":
            [
                "sagemaker:CreateNotebookInstance",
                "sagemaker:UpdateNotebookInstance"
            ],
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "sagemaker:MinimumInstanceMetadataServiceVersion": "2"
                }
            }
        }
    ]
}

Sonuç

Bugün, Dizüstü Bilgisayar Bulut Sunucuları için Bulut Sunucusu Meta Veri Hizmeti (IMDS) sürümünüzü yapılandırmaya ve yönetimsel olarak kısıtlamaya yönelik desteği duyurduk. SageMaker konsolunu ve AWS CLI'yi kullanarak yeni ve mevcut dizüstü bilgisayarlarınız için IMDS sürümünü nasıl yapılandıracağınızı gösterdik. Ayrıca, IAM koşul anahtarlarını kullanarak IMDS sürümlerinin yönetimsel olarak nasıl kısıtlanacağını da gösterdik ve yalnızca IMDSv2'yi desteklemenin avantajlarını tartıştık.

IMDSv2 ile ilgili herhangi bir sorunuz ve geri bildiriminiz varsa lütfen AWS destek sorumlunuzla görüşün veya şu adrese bir mesaj gönderin: Amazon EC2 ve Amazon Adaçayı Yapıcı tartışma forumları.

Yazarlar Hakkında

Apoorva Gupta SageMaker Notebooks ekibinde bir Yazılım Mühendisidir. Odak noktası, müşterilerin ML operasyonlarının tüm yönlerinde SageMaker'dan daha etkili bir şekilde yararlanmalarını sağlamaktır. 2021'den beri Amazon SageMaker Defterlerine katkıda bulunuyor. Boş zamanlarında kitap okumaktan, resim yapmaktan, bahçe işleri yapmaktan, yemek yapmaktan ve seyahat etmekten hoşlanıyor.

Durga Suri Amazon SageMaker Service SA ekibinde bir ML Çözümleri Mimarıdır. Makine öğrenimini herkes için erişilebilir kılmak konusunda tutkulu. AWS'deki 3 yılında kurumsal müşteriler için AI/ML platformlarının kurulmasına yardımcı oldu. AWS'den önce, kâr amacı gütmeyen ve devlet kurumlarının eğitim sonuçlarını iyileştirmek için verilerinden içgörüler elde etmesini sağladı. Çalışmadığı zamanlarda motosiklete binmeyi, gizemli romanları ve dört yaşındaki husky'si ile doğa yürüyüşlerini sever.

Siddhanth Deshpande Amazon Web Services'de (AWS) Mühendislik Müdürüdür. Şu anki odak noktası, müşterileri "ML kullanmam gerekiyor"dan "ML'yi başarılı bir şekilde kullanıyorum"a hızlı ve kolay bir şekilde ulaştırmayı amaçlayan sınıfının en iyisi yönetilen Makine Öğrenimi (ML) altyapısı ve araç hizmetleri oluşturmaktır. 2013'ten beri AWS'de çeşitli mühendislik görevlerinde çalışarak Amazon Simple Notification Service, Amazon Simple Queue Service, Amazon EC2, Amazon Pinpoint ve Amazon SageMaker gibi AWS hizmetleri geliştirdi. Boş zamanlarında ailesiyle vakit geçirmekten, kitap okumaktan, yemek yapmaktan, bahçe işleri yapmaktan ve dünyayı gezmekten hoşlanır.

Prashant Pawan Pisipati Amazon Web Services'de (AWS) Baş Ürün Müdürüdür. AWS ve Alexa'da çeşitli ürünler geliştirdi ve şu anda Makine Öğrenimi uygulayıcılarının AWS hizmetleri aracılığıyla daha üretken olmalarına yardımcı olmaya odaklanıyor.

Edwin Bejarano SageMaker Notebooks ekibinde bir Yazılım Mühendisidir. AWS Lambda, Amazon Pinpoint, Amazon Vergi Muafiyeti Programı ve Amazon SageMaker gibi hizmetlere katkılarıyla 2017'den beri Amazon için çalışan bir Hava Kuvvetleri gazisi. Boş zamanlarında kitap okumayı, yürüyüş yapmayı, bisiklete binmeyi ve video oyunları oynamayı sever.

• Akıllı para. Avrupa'nın En İyi Bitcoin ve Kripto Borsası.
• Plato blok zinciri. Web3 Metaverse Zekası. Bilgi Güçlendirildi. SERBEST ERİŞİM.
• KriptoHawk. Altcoin Radarı. Ücretsiz deneme.
• Kaynak: https://aws.amazon.com/blogs/machine-learning/amazon-sagemaker-notebook-instances-now-support-configuring-and-restricting-imds-versions/