AWS Sagemakerでセキュリティに強い機械学習環境を構築する ③ #AWS

はじめに

本連載の最終回として、特にセキュリティと運用上の信頼性に留意し、構成を再考、IAM設定を見直すことでセキュリティに強い機械学習環境の作成まで行います。

ゴール

前回、最小権限の原則に触れました。

Notebook上の操作でうっかりローデータを消してしまっては大変なので、推論結果の保存先とローデータの保存先を分けます。それらに紐づける形で、Notebookインスタンス、IAMエンティティを作成します。

この際、セキュリティ担保のために最低限必要な項目である、MFA認証についてもポリシーで固めておきます。

このような条件を満たす環境の構築をゴールとします。

手順

1. IAMポリシー

管理者 Notebook
機械学習技術者 Notebook
管理者グループ
機械学習技術者グループ

これら4つの要素にアクセス権限を付与するため、
以下の3点を明示したポリシーを作成します。

S3バケットに対するアクセス
インスタンスに対するアクセス
各ユーザーのMFA認証必須

内容は下記の通り。

管理者Notebook用ポリシー

// for_notebook-for-administrator
{
    "Version": "2012-10-17",
    "Statement": {
        "Sid": "RawDataAccessAll",
        "Effect": "Allow",
        "Action": "*",
        "Resource": "arn:aws:s3:::sagemaker-rawdata/*"
    }
}

機械学習技術者Notebook用ポリシー

// for_notebook-for-engineer
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RawDataAccessGetList",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
                ],
            "Resource": "arn:aws:s3:::sagemaker-rawdata/*"
        },
        {
            "Sid": "SageMakerResultAllAccess",
            "Effect": "Allow",
            "Action": "*",
            "Resource": "arn:aws:s3:::sagemaker-result/*"
        }
    ]
}

管理者グループ用ポリシー

// for_SageMakerAdministrator_Group
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "MFA",
            "Effect": "Deny",
            "Action": "*",
            "Resource":"*",
            "Condition": {
                "Null": {"aws:MultiFactorAuthAge": true }
            }
        },
        {
            "Sid": "AdministratorAccess",
            "Effect": "Allow",
            "Action": "*",
            "Resource":"arn:aws:sagemaker:::notebook-instance/notebook-for-administrator/*"
        }
    ]
}

機械学習技術者グループ用ポリシー

// for_SageMakerEngineer_Group
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "MFA",
            "Effect": "Deny",
            "Action": "*",
            "Resource":"*",
            "Condition": {
                "Null": { "aws:MultiFactorAuthAge": true }
            }
        },
        {
            "Sid": "EngineerAccess",
            "Effect": "Allow",
            "Action": "*",
            "Resource":"arn:aws:sagemaker:::notebook-instance/notebook-for-engineer/*"            
        }
    ]
}