一家公司将在SageMaker中训练和托管ML模型。所有静态数据都必须加密。公司希望AWS维护加密密钥的信任根，并记录密钥使用情况，同时最大限度地减少运营开销。哪个选项能以最少的运营工作满足这些要求？

正确答案是使用客户管理的AWS KMS密钥。AWS KMS提供由AWS维护信任根的加密密钥，并自动记录密钥使用情况（通过CloudTrail），同时最大限度地减少操作开销。客户管理的密钥（CMK）允许公司对密钥有更多控制权，例如定义访问策略和轮换密钥，同时仍享受KMS的托管优势。 AWS STS用于创建临时凭证，而不是直接用于数据加密。AWS CloudHSM提供硬件安全模块，但操作开销远高于KMS，因为它要求客户管理HSM集群。SageMaker内置的瞬时密钥和EBS默认加密不提供公司所需的密钥管理和审计控制，且瞬时密钥不适用于S3模型工件的静态加密。