Uma empresa irá treinar e hospedar um modelo de ML no SageMaker. Todos os dados devem ser criptografados em repouso. A empresa deseja que a AWS mantenha a raiz de confiança para as chaves de criptografia e que o uso das chaves seja registrado, minimizando a sobrecarga operacional. Qual opção satisfaz esses requisitos com o menor esforço operacional?

A opção correta é usar chaves AWS KMS gerenciadas pelo cliente (CMKs) para criptografar volumes EBS e artefatos de modelo S3. O AWS KMS (Key Management Service) é um serviço gerenciado que permite criar e controlar chaves de criptografia, com a AWS mantendo a raiz de confiança. Isso atende ao requisito de segurança e registra o uso das chaves, minimizando a sobrecarga operacional, pois o KMS é um serviço totalmente gerenciado. A opção de usar o AWS Security Token Service (STS) está incorreta porque o STS é para credenciais temporárias, não para gerenciamento de chaves de criptografia de dados em repouso. Usar o AWS CloudHSM forneceria um controle mais granular sobre as chaves, mas aumentaria significativamente a sobrecarga operacional, pois o CloudHSM exige que o cliente gerencie o cluster HSM. As chaves transientes integradas do SageMaker e a criptografia padrão do Amazon EBS não oferecem o nível de controle e registro de uso das chaves que as CMKs do KMS proporcionam, nem a raiz de confiança gerenciada pela AWS com rastreamento detalhado.