Amazon Web Services hat die Governance-Funktionen seines Ökosystems für maschinelles Lernen erweitert und die Unterstützung für Trusted Identity Propagation (TIP) für Amazon SageMaker Notebooks eingeführt. Die Integration ermöglicht eine granulare, benutzerbezogene Zugriffskontrolle über wichtige Datenanalyse-Engines hinweg, darunter Amazon Athena, Amazon Redshift und Amazon EMR Serverless, womit die Sicherheitskompromisse geteilter Ausführungsrollen (Shared Execution Roles) entfallen.
Die Lösung für das Dilemma geteilter Ausführungsrollen
In traditionellen Enterprise-Data-Science-Umgebungen führen Teammitglieder in interaktiven Entwicklungsumgebungen Abfragen häufig über eine gemeinsame Servicerolle aus. Zwar vereinfacht dieses Setup die initiale Rechenzentrumskonfiguration, doch bringt es erhebliche Sicherheits- und Governance-Herausforderungen mit sich. Wenn sich mehrere Ingenieure eine breit angelegte Ausführungsolle teilen, fällt es Unternehmen schwer, Least-Privilege-Richtlinien auf individueller Ebene durchzusetzen oder spezifische Abfrageaktivitäten auf einen einzelnen Benutzer zurückzuführen.
Die Einführung von Trusted Identity Propagation setzt genau hier an. Wenn ein Entwickler innerhalb eines TIP-aktivierten Projekts arbeitet und sich mit TIP-aktivierten Rechenressourcen in Amazon SageMaker verbindet, wird seine individuelle Identität aus dem AWS IAM Identity Center nahtlos an nachgeschaltete Abfrage-Engines und Zugriffsmwaltungs-Ebenen übertragen, ohne dass Anmeldedaten ausgetauscht oder sekundäre Authentifizierungsschritte erforderlich sind.
Granulare Governance über AWS Lake Formation
Indem individuelle Identitäten direkt an die Datenebenen übergeben werden können, integriert sich die neue Architektur nativ mit AWS Lake Formation. Datenverwalter und Administratoren können strenge Datengrenzen basierend auf der tatsächlichen Identität des Benutzers durchsetzen, der die Workload ausführt, anstatt sich auf die übergeordnete Notebook-Umgebung zu verlassen.
Zu den wichtigsten Funktionen dieser Architektur gehören:
- Feingranulare Zugriffskontrolle: Berechtigungen können auf Datenbank-, Tabellen-, Spalten- und Zeilenebene basierend auf individuellen IAM-Identity-Center-Profilen definiert und durchgesetzt werden.
- Wegfall breiter Rollen: Arbeitsbereiche erfordern keine weitreichenden Berechtigungen mehr, die jedem Benutzer in einem Projekt pauschalen Zugriff auf Datensätze gewähren.
- Nahtlose Entwicklererfahrung: Benutzer müssen während der Datenexploration und Modellentwicklung keine separaten Sicherheitstoken verwalten, Anmeldedaten erneut eingeben oder manuelle Rollenwechsel durchführen.
- Native Multi-Engine-Unterstützung: Die Identitätsweitergabe funktioniert konsistent in den Umgebungen von Amazon Athena, Amazon Redshift und Amazon EMR Serverless.
Verbesserte Nachvollziehbarkeit und CloudTrail-Zuordnung
Über die Zugriffs-Governance hinaus verbessert Trusted Identity Propagation die Überwachungs- und Compliance-Funktionen von Unternehmen. Da individuelle Identitäten bei jedem Abfrage-Payload mitreisen, erfasst AWS CloudTrail präzise die eindeutige Identität des menschlichen Benutzers, der bestimmte Datenbestände angefordert oder manipuliert hat.
Zuvor zeichneten Audit-Protokolle häufig nur die gemeinsame Servicerolle auf, wodurch verschleiert wurde, welcher Einzelne eine Abfrage ausgelöst hatte, was forensische Untersuchungen oder behördliche Berichterstattungen erschwerte. Mit TIP erhalten Compliance-Teams eine vollständige Audit-Zuordnung, wodurch es unkompliziert wird, Datenschutzstandards zu erfüllen und den Zugriff auf sensible Informationen über Initiativen für maschinelles Lernen hinweg zu verfolgen.
Verfügbarkeit und Implementierung
Trusted Identity Propagation ist in allen AWS-Regionen verfügbar, die Amazon SageMaker Unified Studio unterstützen. Um die Funktion zu implementieren, müssen Administratoren ein TIP-aktiviertes Projekt konfigurieren und kompatible Compute-Ressourcen anbinden, die mit unterstützten Analyse-Engines wie Athena, Redshift oder EMR Serverless verbunden sind.
Detaillierte technische Dokumentationen und Implementierungsrichtlinien finden Sie im SageMaker Unified Studio Administrator Guide und im SageMaker Unified Studio User Guide.
Quelle: Originalartikel
