Laboratorio práctico — MLA-C01 AWS Certified Machine Learning Engineer Associate

Descripción general

Requisitos previos

Pasos

1. 1.Elige nuestra versión de Terraform y región de AWS

   Apertura estándar. SageMaker es regional, y la mayoría de las características más nuevas de SageMaker (Pipelines, Model Cards, JumpStart) se implementan primero en us-east-1 y us-west-2; elige una de estas para tener las menores sorpresas.

   Copiar

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       aws = {
         source  = "hashicorp/aws"
         version = "~> 5.60"
       }
     }
   }
   
   provider "aws" {
     region = "us-east-1"
   
     default_tags {
       tags = {
         Project   = "certlabpro-mla-c01"
         ManagedBy = "terraform"
       }
     }
   }

2. 2.Asigna a SageMaker un único bucket para datos de entrenamiento y artefactos de modelos

   Aprovisiona:

   • Amazon S3

   Cada trabajo de entrenamiento de SageMaker lee datos de entrada de S3 y escribe su artefacto de modelo de vuelta en S3; esa es la interfaz de almacenamiento que SageMaker expone. Creamos un bucket con una convención de carpetas (training-data/, model-artifacts/) que refleja la arquitectura de referencia MLA-C01.

   El cifrado en reposo no es negociable para ningún almacén de datos de ML; el examen evalúa esto explícitamente bajo Seguridad, Cumplimiento y Gobernanza para Soluciones de ML. Aquí usamos AES256 por simplicidad; en producción, una clave KMS gestionada por el cliente te proporciona una pista de auditoría más detallada.

   Copiar

   resource "aws_s3_bucket" "ml" {
     bucket_prefix = "certlabpro-mla-c01-"
   }
   
   resource "aws_s3_bucket_public_access_block" "ml" {
     bucket = aws_s3_bucket.ml.id
   
     block_public_acls       = true
     block_public_policy     = true
     ignore_public_acls      = true
     restrict_public_buckets = true
   }
   
   resource "aws_s3_bucket_server_side_encryption_configuration" "ml" {
     bucket = aws_s3_bucket.ml.id
   
     rule {
       apply_server_side_encryption_by_default {
         sse_algorithm = "AES256"
       }
     }
   }
   
   resource "aws_s3_bucket_versioning" "ml" {
     bucket = aws_s3_bucket.ml.id
     versioning_configuration {
       status = "Enabled"
     }
   }

3. 3.Permite que SageMaker asuma una identidad con acceso justo

   Aprovisiona:

   • AWS IAM

   Los trabajos de entrenamiento, puntos de conexión y Pipelines de SageMaker se ejecutan bajo un rol de IAM. Creamos un rol con una política de confianza que nombra a sagemaker.amazonaws.com y limita sus permisos exactamente a lo que una carga de trabajo de ML necesita: leer del prefijo de datos de entrenamiento, escribir en el prefijo de artefactos de modelos y emitir registros a CloudWatch. El examen evalúa este modelo de privilegio mínimo una y otra vez.

   Para el laboratorio, adjuntamos la política gestionada por AWS AmazonSageMakerFullAccess encima, porque cubrir cada acción de SageMaker a mano son cientos de líneas y no es lo que evalúa el MLA-C01. En producción, lo restringirías; ese es un ejercicio de endurecimiento aparte.

   Copiar

   resource "aws_iam_role" "sagemaker_exec" {
     name = "certlabpro-mla-c01-sagemaker-exec"
   
     assume_role_policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Effect    = "Allow"
         Principal = { Service = "sagemaker.amazonaws.com" }
         Action    = "sts:AssumeRole"
       }]
     })
   }
   
   resource "aws_iam_role_policy_attachment" "sagemaker_full" {
     role       = aws_iam_role.sagemaker_exec.name
     policy_arn = "arn:aws:iam::aws:policy/AmazonSageMakerFullAccess"
   }
   
   resource "aws_iam_role_policy" "sagemaker_lab_bucket" {
     name = "lab-bucket-read-write"
     role = aws_iam_role.sagemaker_exec.id
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [
         {
           Effect   = "Allow"
           Action   = ["s3:GetObject", "s3:ListBucket"]
           Resource = [aws_s3_bucket.ml.arn, "${aws_s3_bucket.ml.arn}/training-data/*"]
         },
         {
           Effect   = "Allow"
           Action   = "s3:PutObject"
           Resource = "${aws_s3_bucket.ml.arn}/model-artifacts/*"
         },
       ]
     })
   }

4. 4.Registra un Grupo de Paquetes de Modelos de SageMaker para catalogar las versiones de modelos

   Aprovisiona:

   • Amazon SageMaker

   Un Grupo de Paquetes de Modelos es el registro de modelos de SageMaker: un contenedor con nombre para múltiples versiones del mismo modelo, cada una con su propio estado (PendingManualApproval, Approved, Rejected). Cada historia de MLOps que evalúa el MLA-C01 pasa por este objeto: el pipeline de entrenamiento registra una nueva versión → el ingeniero de MLOps revisa → el estado cambia a Approved → el pipeline de CI/CD toma el cambio y despliega el nuevo modelo en el punto de conexión.

   El grupo en sí no cuesta nada; es metadatos. Una vez que existe, los trabajos de entrenamiento y los Pipelines pueden llamar a RegisterModel contra él y SageMaker rastrea el linaje automáticamente. Estamos sentando las bases a las que reaccionará la regla de EventBridge en el Paso 5.

   Copiar

   resource "aws_sagemaker_model_package_group" "main" {
     model_package_group_name        = "certlabpro-mla-c01-models"
     model_package_group_description = "Lab-only model registry for the MLA-C01 walkthrough."
   }

5. 5.Conecta EventBridge para reaccionar cuando una versión de modelo es aprobada

   Aprovisiona:

   • Amazon EventBridge
   • AWS IAM

   Cada acción de registro de modelos de SageMaker emite un evento de EventBridge: registro, cambios de estado, eliminaciones. El dominio Implementación y Orquestación del MLA-C01 evalúa este patrón exacto: la aprobación de un modelo debe iniciar la automatización del siguiente paso (desplegar en staging, ejecutar pruebas de integración, notificar al equipo de guardia) sin que un humano presione botones en la consola.

   Creamos una regla de EventBridge que coincide con las transiciones de estado Approved para nuestro grupo de paquetes de modelos específico, y apuntamos a un tema de SNS como el marcador de posición para la parte posterior; en producción, apuntarías a una máquina de estado de Step Functions, una Lambda o un pipeline de CodePipeline. La estructura permanece igual; solo cambia el ARN del destino.

   Con esta pieza final en su lugar, la cadena del plano de control está completa: un trabajo de entrenamiento (plano de datos, no aprovisionado aquí) escribe su artefacto en S3 desde el Paso 2, asume el rol del Paso 3 para hacerlo, registra una nueva versión en el grupo de paquetes de modelos del Paso 4, y cualquier aprobación activa la automatización posterior a través de la regla de EventBridge del Paso 5. Conecta un trabajo de entrenamiento y el ciclo se ejecuta solo.

   Copiar

   resource "aws_sns_topic" "model_approvals" {
     name = "certlabpro-mla-c01-model-approvals"
   }
   
   resource "aws_cloudwatch_event_rule" "model_approved" {
     name        = "certlabpro-mla-c01-model-approved"
     description = "Fires when a model version in our registry is approved."
   
     event_pattern = jsonencode({
       source        = ["aws.sagemaker"]
       "detail-type" = ["SageMaker Model Package State Change"]
       detail = {
         ModelPackageGroupName = [aws_sagemaker_model_package_group.main.model_package_group_name]
         ModelApprovalStatus   = ["Approved"]
       }
     })
   }
   
   resource "aws_cloudwatch_event_target" "notify_sns" {
     rule = aws_cloudwatch_event_rule.model_approved.name
     arn  = aws_sns_topic.model_approvals.arn
   }
   
   resource "aws_sns_topic_policy" "allow_events" {
     arn = aws_sns_topic.model_approvals.arn
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Effect    = "Allow"
         Principal = { Service = "events.amazonaws.com" }
         Action    = "sns:Publish"
         Resource  = aws_sns_topic.model_approvals.arn
       }]
     })
   }

Limpieza