本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定 Studio 以透過 VPC 內沒有網際網路存取的子網路執行

本指南說明如何在 Amazon SageMaker AI 網域在沒有網際網路存取的私有子網路中執行時，從遠端 IDE 連線至 Amazon SageMaker Studio 空間。您將了解連線要求和設定選項，以在隔離的網路環境中建立安全的遠端連線。

您可以設定 Amazon SageMaker Studio，透過沒有網際網路存取的子網路在僅限 VPC 模式下執行。此設定透過在所有流量流經 VPC 的隔離網路環境中操作，以增強機器學習工作負載的安全性。若要在維護安全性的同時啟用外部通訊，請針對 AWS 服務使用 VPC 端點，並針對必要的 AWS 相依性設定 VPC PrivateLink。

IDE 支援私有子網路連線

下表顯示在沒有網際網路存取的情況下連接到私有子網路中的 Studio 空間時，每個遠端 IDE 支援的連線方法。

Studio 遠端存取網路要求

VPC 模式限制 VPC 模式中的 Studio 僅支援私有子網路。Studio 無法使用與網際網路閘道 (IGW) 直接連接的子網路。遠端 IDE 連線與 SageMaker AI 有相同的限制。如需詳細資訊，請參閱將 VPC 中的 Studio 筆記本連線至外部資源。

VPC PrivateLink 需求

當 SageMaker AI 在私有子網路中執行時，除了 SageMaker 所需的標準 VPC 端點之外，還要設定這些 SSM VPC 端點。如需詳細資訊，請參閱透過 VPC 端點連線 Studio。

VPC 端點政策建議

以下是建議的 VPC 端點政策，允許使用 aws:PrincipalIsAWSService條件進行遠端存取的必要動作，以確保只有 Amazon SageMaker AI 之類的 AWS 服務可以進行呼叫。如需 aws:PrincipalIsAWSService條件金鑰的詳細資訊，請參閱 文件。

SSM 端點政策

對com.amazonaws.REGION.ssm端點使用下列政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "ssm:CreateActivation",
                "ssm:RegisterManagedInstance",
                "ssm:DeleteActivation",
                "ssm:DeregisterManagedInstance",
                "ssm:AddTagsToResource",
                "ssm:UpdateInstanceInformation",
                "ssm:UpdateInstanceAssociationStatus",
                "ssm:DescribeInstanceInformation",
                "ssm:ListInstanceAssociations",
                "ssm:ListAssociations",
                "ssm:GetDocument",
                "ssm:PutInventory"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:PrincipalIsAWSService": "true"
                }
            }
        }
    ]
}

SSM 訊息端點政策

對com.amazonaws.REGION.ssmmessages端點使用下列政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:PrincipalIsAWSService": "true"
                }
            }
        }
    ]
}

VS Code 特定網路要求

遠端 VS Code 連線需要 VS Code 遠端開發，這需要特定網路存取，才能安裝遠端伺服器和延伸模組。如需完整的網路要求，請參閱 Visual Studio Code 文件中的遠端開發常見問答集。以下是要求摘要：

Kiro 特定網路需求

遠端 Kiro 連線需要 Kiro 遠端開發，這需要特定網路存取權才能安裝遠端伺服器和延伸模組。如需防火牆和代理伺服器組態，請參閱 Kiro 防火牆組態。這些要求類似於 VS 程式碼：

設定 Studio 遠端存取網路

您有下列選項可將遠端 IDE 連線至私有子網路中的 Studio 空間：

使用受控允許清單設定 HTTP Proxy

當您的 Studio 空間位於防火牆或代理之後時，允許存取您的 IDE 伺服器和延伸模組相關的 CDNs和端點。

設定預先封裝的遠端伺服器和延伸模組 （僅限 VS 程式碼）

當您的 Studio 空間無法存取外部端點，下載 VS Code 遠端伺服器和延伸模組時，您可以預先封裝它們。使用此方法，您可以匯出一個 tarball，其中包含特定版本 VS Code 的 .VS Code-server 目錄。然後，您可以使用 SageMaker AI 生命週期組態 (LCC) 指令碼，將 tarball 複製並擷取至 Studio 空間的主目錄 (/home/sagemaker-user)。此 LCC 型解決方案適用於 AWS提供的映像和自訂映像。即使您未使用私有子網路，此方法也會加速 VS Code 遠端伺服器和預先安裝延伸模組的設定。

預先封裝 VS Code 遠端伺服器和延伸模組的指示