A equipe de MLOps da BrightRetail quer que os cientistas de dados no SageMaker Studio possam iniciar trabalhos de treinamento em um prefixo de treinamento S3 específico, mas a equipe deve impedir que esses usuários listem ou leiam outros prefixos S3 no mesmo bucket e alterem as políticas de chave KMS. Qual design do IAM de privilégio mínimo realizará isso?

A opção correta implementa o princípio do privilégio mínimo. Ao criar uma função de execução dedicada (iam:PassRole) com acesso restrito de leitura ao prefixo S3 específico e permissões de descriptografia KMS, e permitindo que os usuários do Studio apenas criem trabalhos de treinamento (sagemaker:CreateTrainingJob) usando essa função, garante-se que eles não possam listar ou ler outros prefixos S3 nem alterar políticas KMS. As outras opções são incorretas porque: Anexar uma política S3 ampla à função do usuário viola o privilégio mínimo e depende da confiança, não da segurança técnica. Conceder AdminAccess à função do usuário é um risco de segurança significativo e ignora o controle de acesso do IAM. Conceder sts:AssumeRole sem iam:PassRole impediria que os usuários associassem a função de execução aos trabalhos de treinamento, tornando-a inútil para o propósito.