Você deve treinar e hospedar um modelo SageMaker usando dados confidenciais de clientes que devem ser criptografados em repouso. A empresa deseja que a AWS mantenha a raiz de confiança para as chaves, mas também exige que todo o uso de chaves seja registrado. Qual abordagem de criptografia satisfaz esses requisitos?

A opção correta é usar chaves gerenciadas pelo cliente (CMKs) no AWS Key Management Service (KMS). As CMKs no KMS permitem que a AWS mantenha a raiz de confiança, enquanto todos os usos da chave são registrados no AWS CloudTrail, satisfazendo ambos os requisitos. O SageMaker pode ser configurado para usar essas CMKs para criptografar volumes de dados de ML (como volumes EBS anexados a instâncias de treinamento e hospedagem) e artefatos de modelo e dados armazenados no S3. Usar chaves do AWS CloudHSM não é ideal porque a empresa exige que a AWS mantenha a raiz de confiança, e o CloudHSM exige que o cliente gerencie o HSM e as chaves. Chaves transitórias integradas do SageMaker não oferecem o registro detalhado de uso de chaves exigido. Tokens temporários do AWS STS são credenciais de segurança de curta duração para acesso a recursos, não um mecanismo de criptografia para dados em repouso.