Ein Datensatz in S3 ist mit SSE-KMS verschlüsselt. Was muss getan werden, damit eine SageMaker Notebook-Instanz diese S3-Daten lesen kann?

Um auf SSE-KMS-verschlüsselte Daten in S3 zuzugreifen, benötigt die SageMaker Notebook-Instanz eine IAM-Rolle, die sowohl Lesezugriff auf den S3-Bucket als auch die Berechtigung zur Verwendung des KMS-Schlüssels hat. Die IAM-Rolle muss in der KMS-Schlüsselrichtlinie als autorisierter Benutzer für die Entschlüsselung aufgeführt sein. Das Öffnen des gesamten HTTP-Verkehrs in Sicherheitsgruppen ist ein Sicherheitsrisiko und nicht direkt für den Zugriff auf S3-Daten oder KMS-Schlüssel relevant. Das Platzieren der Notebook-Instanz in einer VPC und das Gewähren von Zugriff auf die VPC in der KMS-Schlüsselrichtlinie ist unzureichend, da der Zugriff auf den Schlüssel an die IAM-Rolle gebunden ist, nicht an die VPC. Das direkte Zuweisen eines KMS-Schlüssels zu einer SageMaker Notebook-Instanz ist keine gültige AWS-Methode; der Zugriff erfolgt immer über IAM-Rollen.