Você deve executar um trabalho do SageMaker Processing a partir de um notebook SageMaker para ler dados de um bucket S3 privado criptografado com uma chave mestra de cliente KMS, pré-processá-los e gravar os resultados de volta no mesmo bucket. O código de pré-processamento é armazenado em uma imagem de contêiner no Amazon ECR. Qual conjunto de ações relacionadas a permissões você deve tomar para permitir que o notebook crie e execute o trabalho de processamento e permita que o trabalho acesse o bucket S3, a chave KMS e a imagem do ECR?

A opção correta descreve a prática de segurança recomendada e o modelo de permissões do AWS SageMaker. A instância do notebook SageMaker precisa de permissão para criar o trabalho de processamento. O trabalho de processamento, por sua vez, precisa de suas próprias permissões para executar suas tarefas, como acessar o S3, KMS e ECR. Ao usar funções do IAM separadas, você segue o princípio do menor privilégio. A primeira opção está incorreta porque anexa todas as permissões (criação do trabalho, S3, KMS, ECR) à instância do notebook, concedendo a ela mais privilégios do que o necessário. A terceira opção está incorreta porque configurar endpoints de VPC não substitui a necessidade de permissões do IAM para acesso a recursos. A quarta opção está incorreta porque usar chaves de acesso e chaves secretas diretamente em um notebook é uma prática de segurança ruim e menos gerenciável do que usar funções do IAM.