Um conjunto de dados no S3 é criptografado com SSE-KMS. O que deve ser feito para que uma instância de notebook SageMaker possa ler esses dados do S3?

A resposta correta é anexar um perfil do IAM à instância de notebook SageMaker que conceda acesso de leitura ao S3 para o conjunto de dados e adicionar esse perfil do IAM à política de chave do KMS para que ele possa usar a chave de criptografia. Isso garante que a instância de notebook tenha as permissões necessárias para acessar o bucket S3 e, crucialmente, para descriptografar os dados usando a chave KMS. Abrir todo o tráfego HTTP de entrada e saída nos security groups não é seguro nem necessário e não resolve o problema de permissão de acesso a dados criptografados. Colocar a instância de notebook SageMaker na VPC e conceder acesso à VPC na política de chave do KMS não é suficiente, pois as permissões devem ser concedidas ao perfil do IAM que a instância de notebook assume, não diretamente à VPC. Atribuir a chave KMS diretamente à instância de notebook SageMaker não é uma prática padrão de segurança e não é como as permissões são gerenciadas no AWS.