Das MLOps-Team von BrightRetail möchte, dass Data Scientists in SageMaker Studio Trainingsaufträge für ein bestimmtes S3-Trainingspräfix starten können. Das Team muss jedoch verhindern, dass diese Benutzer andere S3-Präfixe im selben Bucket auflisten oder lesen und KMS-Schlüsselrichtlinien ändern. Welches IAM-Design mit den geringsten Rechten wird dies erreichen?

Diese Option implementiert das Prinzip der geringsten Rechte. Eine dedizierte Ausführungsrolle mit eingeschränktem S3-Lesezugriff auf das spezifische Präfix und KMS-Entschlüsselungsrechten stellt sicher, dass Trainingsaufträge nur auf die benötigten Daten zugreifen können. Indem den Studio-Benutzerprofilen nur die Berechtigung erteilt wird, sagemaker:CreateTrainingJob aufzurufen und iam:PassRole nur für diese spezifische Ausführungsrolle zu verwenden, können sie Trainingsaufträge starten, ohne direkte S3- oder KMS-Verwaltungsberechtigungen zu besitzen. Dies verhindert das Auflisten oder Lesen anderer S3-Präfixe und das Ändern von KMS-Schlüsselrichtlinien. Die anderen Optionen sind weniger sicher: Eine umfassende S3-Leserichtlinie für Studio-Benutzerprofile würde den Zugriff auf unerwünschte Präfixe ermöglichen. AdminAccess für Studio-Benutzerprofile ist ein erheblicher Sicherheitsverstoß. Das Erteilen von sts:AssumeRole ohne iam:PassRole würde verhindern, dass Benutzer Trainingsaufträge mit der dedizierten Ausführungsrolle erstellen können, da iam:PassRole erforderlich ist, um eine Rolle an einen SageMaker-Service zu übergeben.