详细内容或原文请订阅后点击阅览

在Amazon Sagemaker上为多租户ML平台实现用户级访问控件

2025年7月11日 16:17 33 Comments
X Twitter Instagram Mail

在这篇文章中，我们讨论了权限管理策略，重点介绍了基于属性的访问控制（ABAC）模式，这些模式可实现粒度用户访问控制，同时最大程度地减少AWS身份和访问管理（IAM）角色的扩散。我们还分享了经过验证的最佳实践，可帮助组织维持安全性和合规性，而无需牺牲其ML工作流程的运营效率。

来源:亚马逊云科技 _机器学习
在企业机器学习（ML）环境中管理访问控制提出了重大挑战，尤其是当多个团队共享Amazon Sagemaker AI资源时，Amazon Web Services（AWS）帐户中。尽管Amazon Sagemaker Studio提供了用户级的执行角色，但随着组织规模和团队规模的增长，这种方法变得笨拙。有关帐户结构的最佳实践，请参阅操作模型。在这篇文章中，我们讨论了许可管理策略，重点关注基于属性的访问控制（ABAC）模式，这些模式可以实现粒度用户访问控制，同时最大程度地减少AWS身份和访问管理（IAM）角色的增殖。我们还分享了经过验证的最佳实践，可以帮助组织维持安全和合规性，而无需牺牲其ML工作流程中的运营效率。在工作loadsconssids的资源隔离范围内，在受监管的企业（例如金融或医疗保健）的集中式帐户结构中进行了资源隔离：一支单个ML平台团队管理着一组全面的基础设施，这些基础设施跨越了数百个数据科学团队，这些基础设施为数百个数据科学团体提供服务。通过这样的结构，平台团队可以实施一致的治理政策来实施最佳实践。通过集中这些资源和控制，您可以实现更好的资源利用，维持安全合规性和审计试验，并在ML计划中统一运营标准。但是，挑战在于维持团队之间的工作负载隔离和管理同一团队用户之间的权限。与SageMaker AI，平台团队可以为每个业务部门创建专用的Amazon Sagemaker Studio domains，从而维持工作负载之间的资源隔离。在域内创建的资源仅适用于同一域内的用户，并标记为Amazon Resource名称（ARNS）。使用团队级别或域级角色损害安全性