AWS 擴展 SageMaker 模型治理至多帳戶環境

在完成自動模型註冊後，跨帳戶模型治理成為大型企業的必然需求。本文說明 AWS 於 Amazon SageMaker 上，如何以兩種跨帳戶拓撲（hub‑and‑spoke 與 hybrid）將模型治理從單一帳戶延伸至多帳戶環境，並闡述相關人物角色與實作流程。

核心概念與人物角色

| 角色 | 工作內容 | 主要介面 | |------|----------|----------| | 資料科學家 | 在 Jupyter Notebook 中使用 MLflow（開源模型生命週期管理工具）訓練與註冊模型 | MLflow API | | 治理官 | 透過 SageMaker Studio 模型 UI 監督模型註冊與審核 | SageMaker Studio | | 管理員 | 一次性完成跨帳戶設定：建立 AWS 資源存取管理 (AWS RAM) 共享、S3 bucket 政策與目標群組 | AWS 管理主控台或 CLI | | 模型擁有者（Hybrid 拓撲） | 在各自開發帳戶本地審核模型，確認後再推送至中心治理帳戶 | 本地 MLflow |

兩種跨帳戶治理拓撲

Hub‑and‑Spoke（中心‑輻射）
- 中心帳戶部署單一 MLflow 應用程式 與 模型註冊表（Model Registry）。
- 透過 AWS RAM 將 MLflow 服務共享給多個開發帳戶，讓開發人員仍在各自帳戶內使用 Notebook，但模型資料自動同步至中心註冊表。
- 此模式適合希望在不同開發團隊之間保持 工作負載隔離，同時集中治理與合規審核。
Hybrid（混合）
- 每個開發帳戶保有獨立的 MLflow 實例，模型先在本地完成審核與批准。
- 經過本地批准的模型才會被推送至中心治理帳戶的模型註冊表。
- 此方式符合嚴格的 受管制環境（如金融、醫療）對開發與生產完全隔離的硬性規範。

從模型註冊到部署的 CI/CD 流程

無論採用哪種拓撲，AWS 都提供 持續整合/持續交付 (CI/CD) 流程範例：

模型批准 → 觸發 CodePipeline（自動化流水線）
模型匯入 → 從 SageMaker Model Registry 拉取已批准的模型版本
部署端點 → 以 SageMaker Endpoint 部署模型，供即時推論使用

GitHub 上的示範 Notebook 已完整呈現上述步驟，開發者可直接下載並依照自家環境調整。

未來展望與讀者啟示

治理即服務：隨著 AWS 持續擴充 SageMaker 生態系，跨帳戶模型治理將更趨自動化與即時化，企業可降低合規成本，同時加速模型上線。
選型指引：若組織已具備明確的開發/生產分離需求，建議採用 Hybrid；若追求治理集中、管理成本最小化，則 Hub‑and‑Spoke 更為合適。
持續學習：透過官方提供的 CloudFormation 範本與 GitHub 程式碼，技術團隊可快速建置測試環境，驗證哪種拓撲最符合自家業務流程。

跨帳戶的 SageMaker 模型治理不再是概念驗證，而是已可落地的實務方案。企業若能依照自身治理需求選擇合適的拓撲，將在模型開發、審核與部署之間建立更安全、更高效的閉環。