Um cientista de dados usando uma instância de notebook do Amazon SageMaker precisa de acesso seguro a objetos em um bucket S3 específico. Qual é a maneira recomendada de conceder acesso seguro ao notebook a esse bucket S3?

A maneira recomendada de conceder acesso seguro é anexar uma política do IAM à função de execução do notebook. O Amazon SageMaker usa funções do IAM para conceder permissões aos recursos da AWS, como buckets S3. Ao anexar uma política que permite as ações GetObject, PutObject e ListBucket no bucket S3 específico à função de execução do notebook, o notebook herda essas permissões de forma segura e controlada. Anexar uma política de bucket S3 diretamente ao ARN do notebook não é a abordagem padrão, pois os notebooks não são entidades principais diretas para políticas de bucket. Criptografar objetos S3 com uma chave KMS gerenciada pelo cliente não concede acesso ao bucket, apenas controla o acesso à chave de criptografia. Usar um script de configuração de ciclo de vida para configurar a AWS CLI com chaves de acesso é menos seguro, pois expõe credenciais diretamente no ambiente do notebook.