Ein Unternehmen trainiert und hostet ein ML-Modell in SageMaker. Alle Daten müssen im Ruhezustand verschlüsselt sein. Das Unternehmen möchte, dass AWS die Root of Trust für die Verschlüsselungsschlüssel verwaltet und die Schlüsselverwendung protokolliert, während der Betriebsaufwand minimiert wird. Welche Option erfüllt diese Anforderungen mit dem geringsten Betriebsaufwand?

Die Verwendung kundenverwalteter AWS KMS-Schlüssel (Customer Managed Keys, CMKs) erfüllt alle Anforderungen optimal. KMS bietet eine Root of Trust, die von AWS verwaltet wird, protokolliert die Schlüsselverwendung über AWS CloudTrail und minimiert den Betriebsaufwand, da AWS die Schlüsselinfrastruktur verwaltet. CMKs ermöglichen die Verschlüsselung von SageMaker-EBS-Volumes und S3-Modellartefakten im Ruhezustand. AWS STS ist für die Erstellung temporärer Anmeldeinformationen gedacht, nicht für die Verschlüsselung von Daten im Ruhezustand. AWS CloudHSM bietet zwar eine hohe Kontrolle über Schlüssel, erhöht aber den Betriebsaufwand erheblich, da der Kunde die HSMs verwalten muss. SageMaker verwendet standardmäßig AWS-eigene Schlüssel für die EBS-Verschlüsselung, diese bieten jedoch nicht die gewünschte Kontrolle oder Protokollierung der Schlüsselverwendung durch den Kunden.