本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 笔记本实例、 SageMaker AI 作业和终端节点 要加密连接到笔记本、处理作业、训练作业、超参数调整作业、批量转换作业和端点的机器学习 (ML) 存储卷，您可以将 AWS KMS 密钥传递给 A SageMaker I。如果您未指定 KMS 密钥， SageMaker AI 会使用临时密钥加密存储卷，并在加密存储卷后立即将其丢弃。对于笔记本实例，如果您未指定 KMS 密钥， SageMaker AI 会使用系统管理的 KMS 密钥对操作系统卷和 ML 数据卷进行加密。 您可以使用 AWS 托管 AWS KMS 密钥对所有实例操作系统卷进行加密。您可以使用您指定的密 AWS KMS 钥加密所有 A SageMaker I 实例的所有 ML 数据卷。按以下方式挂载机器学习存储卷： + 笔记本 - `/home/ec2-user/SageMaker` + 处理 - `/opt/ml/processing` 和 `/tmp/` + 训练 - `/opt/ml/` 和 `/tmp/` + 批处理 - `/opt/ml/` 和 `/tmp/` + 终端节点 - `/opt/ml/` 和 `/tmp/` 处理、批量转换和训练作业容器及其存储本质上是短暂的。任务完成后，使用您指定的可选 AWS KMS 密钥 AWS KMS 加密将输出上传到 Amazon S3，实例将被拆除。如果任务请求中未提供 AWS KMS 密钥， SageMaker AI 会将 Amazon S3 的默认 AWS KMS 密钥用于您的角色账户。如果输出数据存储在 Amazon S3 Express One 区域中，则使用 Amazon S3 托管密钥（SSE-S3）使用服务器端加密对其进行加密。 Server-side 在 Amazon S3 目录存储桶中存储 SageMaker AI 输出数据时，目前不支持使用 AWS KMS 密钥加密 (SSE-KMS)。 **注意** Amazon S3 AWS 托管密钥的密钥策略无法编辑，因此无法为这些密钥策略授予跨账户权限。如果请求的输出 Amazon S3 存储桶来自其他账户，请在任务请求中指定您自己的 AWS KMS 客户密钥，并确保任务的执行角色有权使用它加密数据。 **重要** 出于合规性原因需要使用 KMS 密钥加密的敏感数据应存储在机器学习存储卷或 Amazon S3 中，这两种方法都可以使用您指定的 KMS 密钥进行加密。 默认情况下，当您打开笔记本实例时， SageMaker AI 会将其以及与之关联的所有文件保存在 ML 存储卷的 SageMaker AI 文件夹中。当您停止笔记本实例时， SageMaker AI 会创建 ML 存储卷的快照。对已停止实例的操作系统所做的任何自定义设置，例如已安装的自定义库或操作系统级别的设置，如果保存在该文件夹之外，`/home/ec2-user/SageMaker`都将丢失。考虑使用生命周期配置来自动执行默认笔记本实例的自定义。当您终止实例时，快照和机器学习存储卷将被删除。您需要在笔记本实例的生命周期之后保留的任何数据都应传输到 Amazon S3 存储桶。 如果笔记本实例未更新且正在运行不安全的软件， SageMaker AI 可能会定期更新该实例，作为定期维护的一部分。在这些更新期间，文件夹之外的数据不会`/home/ec2-user/SageMaker`被保留。有关维护和安全补丁的信息，请参见[Maintenance](nbi.md#nbi-maintenance)。 **注意** 某些 Nitro-based SageMaker AI 实例包括本地存储，具体取决于实例类型。使用实例上的硬件模块对本地存储卷进行加密。无法在具有本地存储的实例类型上使用 KMS 密钥。有关支持本地实例存储的实例类型的列表，请参阅[实例存储卷](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/InstanceStorage.html#instance-store-volumes)。有关实例存储卷的更多信息，请参阅 [Linux Nitro-based 实例上的 Amazon EBS 和 NVMe](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/nvme-ebs-volumes.html)。 有关本地实例存储加密的更多信息，请参阅 [SSD 实例存储卷](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ssd-instance-store.html)。