ハンズオンラボ — MLA-C01 AWS Certified Machine Learning Engineer Associate

概要

前提条件

ステップ

1. 1.TerraformのバージョンとAWSリージョンを選択する

   標準的な導入です。SageMakerはリージョンサービスであり、ほとんどの新しいSageMaker機能（Pipelines、Model Cards、JumpStart）は最初に us-east-1 および us-west-2 でリリースされます — 問題が少ないように、いずれかを選択してください。

   コピー

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       aws = {
         source  = "hashicorp/aws"
         version = "~> 5.60"
       }
     }
   }
   
   provider "aws" {
     region = "us-east-1"
   
     default_tags {
       tags = {
         Project   = "certlabpro-mla-c01"
         ManagedBy = "terraform"
       }
     }
   }

2. 2.SageMakerにトレーニングデータとモデルアーティファクト用の単一バケットを提供する

   プロビジョニング対象:

   • Amazon S3

   すべてのSageMakerトレーニングジョブは、S3から入力データを読み込み、モデルアーティファクトをS3に書き戻します — これがSageMakerが公開するストレージインターフェースです。MLA-C01の参照アーキテクチャを反映したフォルダー規約（training-data/、model-artifacts/）を持つ1つのバケットを作成します。

   あらゆるMLデータストアにおいて、保存時の暗号化は必須です — 試験ではMLソリューションのセキュリティ、コンプライアンス、およびガバナンスの項目でこれが明示的に問われます。ここでは簡素化のためにAES256を使用しますが、本番環境では、顧客管理KMSキーを使用することで、よりきめ細やかな監査証跡が得られます。

   コピー

   resource "aws_s3_bucket" "ml" {
     bucket_prefix = "certlabpro-mla-c01-"
   }
   
   resource "aws_s3_bucket_public_access_block" "ml" {
     bucket = aws_s3_bucket.ml.id
   
     block_public_acls       = true
     block_public_policy     = true
     ignore_public_acls      = true
     restrict_public_buckets = true
   }
   
   resource "aws_s3_bucket_server_side_encryption_configuration" "ml" {
     bucket = aws_s3_bucket.ml.id
   
     rule {
       apply_server_side_encryption_by_default {
         sse_algorithm = "AES256"
       }
     }
   }
   
   resource "aws_s3_bucket_versioning" "ml" {
     bucket = aws_s3_bucket.ml.id
     versioning_configuration {
       status = "Enabled"
     }
   }

3. 3.SageMakerに必要最小限のアクセス権限を持つIDを引き受けさせる

   プロビジョニング対象:

   • AWS IAM

   SageMakerトレーニングジョブ、エンドポイント、およびPipelinesはすべてIAMロールの下で実行されます。信頼ポリシーで sagemaker.amazonaws.com を指定し、権限をMLワークロードが必要とするもの（トレーニングデータプレフィックスからの読み取り、モデルアーティファクトプレフィックスへの書き込み、CloudWatchへのログ出力）に厳密に限定したロールを1つ作成します。試験ではこの最小特権の形態が繰り返し問われます。

   このラボでは、AWS管理の AmazonSageMakerFullAccess ポリシーを上位にアタッチします。これは、すべてのSageMakerアクションを手作業でカバーすると何百行にもなり、MLA-C01がテストする内容ではないためです。本番環境では、これをさらに絞り込むことになります — それは別のセキュリティ強化の演習です。

   コピー

   resource "aws_iam_role" "sagemaker_exec" {
     name = "certlabpro-mla-c01-sagemaker-exec"
   
     assume_role_policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Effect    = "Allow"
         Principal = { Service = "sagemaker.amazonaws.com" }
         Action    = "sts:AssumeRole"
       }]
     })
   }
   
   resource "aws_iam_role_policy_attachment" "sagemaker_full" {
     role       = aws_iam_role.sagemaker_exec.name
     policy_arn = "arn:aws:iam::aws:policy/AmazonSageMakerFullAccess"
   }
   
   resource "aws_iam_role_policy" "sagemaker_lab_bucket" {
     name = "lab-bucket-read-write"
     role = aws_iam_role.sagemaker_exec.id
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [
         {
           Effect   = "Allow"
           Action   = ["s3:GetObject", "s3:ListBucket"]
           Resource = [aws_s3_bucket.ml.arn, "${aws_s3_bucket.ml.arn}/training-data/*"]
         },
         {
           Effect   = "Allow"
           Action   = "s3:PutObject"
           Resource = "${aws_s3_bucket.ml.arn}/model-artifacts/*"
         },
       ]
     })
   }

4. 4.モデルバージョンをカタログ化するためにSageMakerモデルパッケージグループを登録する

   プロビジョニング対象:

   • Amazon SageMaker

   モデルパッケージグループはSageMakerのモデルレジストリであり、同じモデルの複数のバージョンを格納する名前付きコンテナです。各バージョンは独自のステータス（PendingManualApproval、Approved、Rejected）を持ちます。MLA-C01がテストするすべてのMLOpsのシナリオは、このオブジェクトを経由します。具体的には、トレーニングパイプラインが新しいバージョンを登録し → MLOpsエンジニアがレビューし → ステータスが Approved に変更され → CI/CDパイプラインがその変更を検知して新しいモデルをエンドポイントにデプロイします。

   グループ自体は費用がかかりません — これはメタデータです。一度作成されれば、トレーニングジョブとPipelinesはそれに対して RegisterModel を呼び出すことができ、SageMakerはリネージを自動的に追跡します。これは、ステップ5のEventBridgeルールが反応する基盤を構築するものです。

   コピー

   resource "aws_sagemaker_model_package_group" "main" {
     model_package_group_name        = "certlabpro-mla-c01-models"
     model_package_group_description = "Lab-only model registry for the MLA-C01 walkthrough."
   }

5. 5.モデルバージョンが承認されたときにEventBridgeが反応するように接続する

   プロビジョニング対象:

   • Amazon EventBridge
   • AWS IAM

   すべてのSageMakerモデルレジストリアクションは、EventBridgeイベント（登録、ステータス変更、削除）を発行します。MLA-C01のデプロイとオーケストレーションの領域では、この正確なパターンがテストされます。モデルの承認は、コンソールで人間がボタンを操作することなく、次の自動化ステップ（ステージングへのデプロイ、統合テストの実行、オンコール通知など）をトリガーするべきです。

   ここでは、特定のモデルパッケージグループの Approved ステータス遷移に一致するEventBridgeルールを作成し、ダウンストリームのプレースホルダーとしてSNSトピックをターゲットにします — 本番環境では、Step Functionsステートマシン、Lambda、またはCodePipelineパイプラインを指すでしょう。構造は同じままで、ターゲットARNのみが変更されます。

   この最後のピースが配置されると、コントロールプレーンの連鎖が完了します。トレーニングジョブ（データプレーン、ここではプロビジョニングされていません）は、ステップ2のS3にアーティファクトを書き込み、ステップ3のロールを引き受けてそれを行い、ステップ4のモデルパッケージグループに新しいバージョンを登録し、承認されるとステップ5のEventBridgeルールを介してダウンストリームの自動化がトリガーされます。トレーニングジョブを組み込めば、このループは自動的に実行されます。

   コピー

   resource "aws_sns_topic" "model_approvals" {
     name = "certlabpro-mla-c01-model-approvals"
   }
   
   resource "aws_cloudwatch_event_rule" "model_approved" {
     name        = "certlabpro-mla-c01-model-approved"
     description = "Fires when a model version in our registry is approved."
   
     event_pattern = jsonencode({
       source        = ["aws.sagemaker"]
       "detail-type" = ["SageMaker Model Package State Change"]
       detail = {
         ModelPackageGroupName = [aws_sagemaker_model_package_group.main.model_package_group_name]
         ModelApprovalStatus   = ["Approved"]
       }
     })
   }
   
   resource "aws_cloudwatch_event_target" "notify_sns" {
     rule = aws_cloudwatch_event_rule.model_approved.name
     arn  = aws_sns_topic.model_approvals.arn
   }
   
   resource "aws_sns_topic_policy" "allow_events" {
     arn = aws_sns_topic.model_approvals.arn
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Effect    = "Allow"
         Principal = { Service = "events.amazonaws.com" }
         Action    = "sns:Publish"
         Resource  = aws_sns_topic.model_approvals.arn
       }]
     })
   }

クリーンアップ