Uma equipe implantará instâncias de notebook do Amazon SageMaker, mas deve garantir que nenhuma instância de notebook permita acesso root. Qual método impedirá a implantação de instâncias de notebook que concedem privilégios de root?

As chaves de condição do IAM são o método mais eficaz e proativo para impedir a implantação de instâncias de notebook do SageMaker com acesso root. Ao configurar uma política do IAM com uma chave de condição que nega a criação de instâncias de notebook quando o parâmetro RootAccess está definido como Enabled, você garante que nenhuma instância com acesso root possa ser provisionada. Usar chaves do AWS KMS não é relevante, pois elas gerenciam a criptografia, não o controle de acesso a recursos. Monitorar com EventBridge ou CloudFormation e usar uma função Lambda para excluir instâncias é uma abordagem reativa. Embora funcione, ela permite que a instância seja criada inicialmente, o que pode introduzir uma breve janela de vulnerabilidade e é menos eficiente do que impedir a criação desde o início.