기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# SageMaker AI 컴파일 작업에 Amazon VPC의 리소스에 대한 액세스 권한 부여
**참고**
컴파일 작업의 경우 작업이 공유 하드웨어에서 실행되는 기본 테넌시 VPC를 사용하여 서브넷만 구성할 수 있습니다. VPC의 테넌시 속성에 대한 자세한 내용은 [전용 인스턴스](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/dedicated-instance.html)를 참조하세요.
## Amazon VPC 액세스를 위한 컴파일 작업 구성
프라이빗 VPC에서 서브넷 및 보안 그룹을 지정하려면 [https://docs.aws.amazon.com/sagemaker/latest/APIReference/API_CreateCompilationJob.html](https://docs.aws.amazon.com/sagemaker/latest/APIReference/API_CreateCompilationJob.html) API의 `VpcConfig` 요청 파라미터를 사용하거나 SageMaker AI 콘솔에서 컴파일 작업을 생성할 때 이 정보를 제공합니다. SageMaker AI Neo는 이 정보를 사용하여 네트워크 인터페이스를 생성하고 컴파일 작업에 연결합니다. 네트워크 인터페이스는 인터넷에 연결되지 않은 VPC 내의 네트워크 연결을 통해 컴파일 작업을 제공합니다. 또한 컴파일 작업을 프라이빗 VPC의 리소스에 연결할 수 있게 해 줍니다. 다음은 `CreateCompilationJob`작업 호출에 포함할 `VpcConfig`파라미터의 예입니다.
```
VpcConfig: {"Subnets": [
"subnet-0123456789abcdef0",
"subnet-0123456789abcdef1",
"subnet-0123456789abcdef2"
],
"SecurityGroupIds": [
"sg-0123456789abcdef0"
]
}
```
## SageMaker AI 컴파일을 위한 프라이빗 VPC 구성
SageMaker AI 컴파일 작업에 대한 프라이빗 VPC를 구성할 때 다음 지침을 따릅니다. VPC 설정에 대한 자세한 내용은 Amazon VPC 사용 설명서의 [VPC 및 서브넷 작업](https://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/working-with-vpcs.html)을 참조하세요.**
**Topics**
+ [서브넷에 충분한 IP 주소를 확보해야 합니다](#neo-vpc-ip)
+ [Amazon S3 VPC 엔드포인트 생성](#neo-vpc-s3)
+ [사용자 지정 엔드포인트 정책을 사용하여 S3에 대한 액세스 제한](#neo-vpc-policy)
+ [라우팅 테이블 구성](#neo-vpc-route-table)
+ [VPC 보안 그룹 구성](#neo-vpc-groups)
### 서브넷에 충분한 IP 주소를 확보해야 합니다
VPC 서브넷에는 컴파일 작업의 각 인스턴스에 대해 최소 2개 이상의 이용 가능한 프라이빗 IP 주소가 있어야 합니다. 자세한 내용은 Amazon VPC 사용 설명서의 [IPv4에 대한 VPC 및 서브넷 크기 조정](https://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Subnets.html#vpc-sizing-ipv4)을 참조하세요.**
### Amazon S3 VPC 엔드포인트 생성
인터넷 액세스를 차단하도록 VPC를 구성하는 경우 액세스를 허용하는 VPC 엔드포인트를 생성하지 않는 한 SageMaker Neo는 모델이 포함된 Amazon S3 버킷에 연결할 수 없습니다. VPC 엔드포인트를 생성함으로써 SageMaker Neo 컴파일 작업이 데이터 및 모델 아티팩트를 저장하는 버킷에 액세스할 수 있습니다. 프라이빗 VPC의 S3 버킷 액세스 요청만을 허용하는 사용자 지정 정책을 생성하는 것이 좋습니다. 자세한 내용은 [Amazon S3용 엔드포인트](https://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/vpc-endpoints-s3.html)를 참조하세요.
**S3 VPC 엔드포인트를 생성하려면**
1. [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/)에서 Amazon VPC 콘솔을 엽니다.
1. 탐색 창에서 **엔드포인트**를 선택하고 **엔드포인트 생성**을 선택합니다.
1. **서비스 이름**에서 **com.amazonaws.*region*.s3**를 선택합니다.여기서 *region*은 VPC가 상주하는 리전의 이름입니다.
1. **게이트웨이** 유형을 선택합니다.
1. **VPC**에서 이 엔드포인트에 사용할 VPC를 선택합니다.
1. **라우팅 테이블 구성**에서 엔드포인트에서 사용할 라우팅 테이블을 선택합니다. 그러면 VPC 서비스는 사용자가 선택한 각 라우팅 테이블에 S3 트래픽을 새 엔드포인트로 유도하는 경로를 자동으로 추가합니다.
1. **정책**에서 **모든 액세스**를 선택하여 VPC의 모든 사용자 또는 서비스에 S3 서비스에 대한 모든 액세스를 허용합니다. 액세스 권한을 추가로 제한하려면 **사용자 지정**을 선택합니다. 자세한 내용은 [사용자 지정 엔드포인트 정책을 사용하여 S3에 대한 액세스 제한](train-vpc.md#train-vpc-policy)을 참조하세요.
### 사용자 지정 엔드포인트 정책을 사용하여 S3에 대한 액세스 제한
기본 엔드포인트 정책은 VPC의 모든 사용자 또는 서비스에 S3에 대한 모든 액세스를 허용합니다. S3에 대한 액세스를 추가로 제한하려면 사용자 지정 엔드포인트 정책을 생성합니다. 자세한 내용은 의 [Amazon S3용 엔드포인트 정책 사용](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html#vpc-endpoints-policies-s3)을 참조하세요. 또한 S3 버킷에 대한 액세스를 Amazon VPC에서 시작하는 트래픽으로만 제한하는 버킷 정책을 사용할 수도 있습니다. 자세한 내용은 [Amazon S3 버킷 정책 사용](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html#vpc-endpoints-s3-bucket-policies)을 참조하세요. 다음은 샘플 사용자 지정 정책입니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Principal": {
"AWS": "*"
},
"Action": "s3:GetObject",
"Resource": [
"arn:aws:s3:::your-sample-bucket",
"arn:aws:s3:::your-sample-bucket/*"
],
"Condition": {
"StringNotEquals": {
"aws:SourceVpce": [
"vpce-1a2b3c4d"
]
}
}
}
]
}
```
------
#### Amazon VPC에서 실행 중인 컴파일 작업에 대한 권한을 사용자 지정 IAM 정책에 추가
`SageMakerFullAccess` 관리형 정책은 사용자가 엔드포인트에서 Amazon VPC 액세스에 대해 구성된 모델을 사용하는 데 필요한 사용 권한이 포함됩니다. 이러한 권한을 통해 SageMaker Neo는 탄력적인 네트워크 인터페이스를 생성하여 Amazon VPC에서 실행되는 컴파일 작업에 연결할 수 있습니다. 자체 IAM 정책을 사용하는 경우 Amazon VPC 액세스를 위해 구성된 모델을 사용하려면 해당 정책에 다음 권한을 추가해야 합니다.
------
#### [ JSON ]
****
```
{"Version":"2012-10-17",
"Statement": [
{"Effect": "Allow",
"Action": [
"ec2:DescribeVpcEndpoints",
"ec2:DescribeDhcpOptions",
"ec2:DescribeVpcs",
"ec2:DescribeSubnets",
"ec2:DescribeSecurityGroups",
"ec2:DescribeNetworkInterfaces",
"ec2:DeleteNetworkInterfacePermission",
"ec2:DeleteNetworkInterface",
"ec2:CreateNetworkInterfacePermission",
"ec2:CreateNetworkInterface",
"ec2:ModifyNetworkInterfaceAttribute"
],
"Resource": "*"
}
]
}
```
------
`SageMakerFullAccess` 관리형 정책에 대한 자세한 내용은 [AWS 관리형 정책: AmazonSageMakerFullAccess](security-iam-awsmanpol.md#security-iam-awsmanpol-AmazonSageMakerFullAccess)을 참조하세요.
### 라우팅 테이블 구성
엔드포인트 라우팅 테이블에 기본 DNS 설정을 사용하여 표준 Amazon S3 URL(예: `http://s3-aws-region.amazonaws.com/amzn-s3-demo-bucket`)을 확인합니다. 기본 DNS 설정을 사용하지 않는 경우 엔드포인트 라우팅 테이블을 구성하여 컴파일 작업 내 데이터 위치를 지정하는 데 사용하는 URL이 해결되는지 확인합니다. VPC 엔드포인트 라우팅 테이블에 대한 자세한 내용은 Amazon VPC 사용 설명서의 [게이트웨이 엔드포인트 라우팅](https://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/vpce-gateway.html#vpc-endpoints-routing)을 참조하세요.**
### VPC 보안 그룹 구성
컴파일 작업을 위한 보안 그룹에서 Amazon S3 Amazon VPC 엔드포인트 및 컴파일 작업에 사용되는 서브넷 CIDR 범위에 대한 아웃바운드 통신을 허용해야 합니다. 자세한 내용은 [보안 그룹 규칙](https://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_SecurityGroups.html#SecurityGroupRules) 및 [Amazon VPC 엔드포인트를 사용하는 서비스에 대한 액세스 제어](https://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/vpc-endpoints-access.html)를 참조하세요.