多个业务组的所有训练数据都存储在单个 AWS 账户的 S3 中。ML 工程师只能访问其所属业务组的训练数据，并且必须阻止他们访问其他组的数据。所有训练都在 SageMaker 中运行。公司应如何实施所需的访问控制？

正确的做法是创建限制访问的 IAM 策略，并将其附加到相应的 IAM 用户或角色。IAM 策略允许您精细控制对 AWS 资源的访问权限，包括 S3 存储桶中的特定对象或前缀。通过为每个业务组创建具有适当 S3 访问权限的 IAM 策略，并将其分配给该组的 ML 工程师，可以确保他们只能访问其所属组的训练数据，而无法访问其他组的数据。 S3 存储桶版本控制主要用于保护数据免受意外删除或覆盖，与访问控制无关。S3 Object Lock 用于防止对象在指定期限内被删除或覆盖，也与限制用户访问特定数据集无关。向 S3 存储桶添加 CORS 策略是为了允许跨域请求，与内部用户访问控制无关。