Sie müssen ein SageMaker-Modell mit sensiblen Kundendaten trainieren und hosten, die im Ruhezustand verschlüsselt sein müssen. Das Unternehmen möchte, dass AWS die Vertrauensbasis für die Schlüssel verwaltet, verlangt aber auch, dass jede Schlüsselverwendung protokolliert wird. Welcher Verschlüsselungsansatz erfüllt diese Anforderungen?

Kundenverwaltete Schlüssel (CMKs) in AWS KMS erfüllen alle Anforderungen: AWS verwaltet die Vertrauensbasis der Schlüssel, und jede Schlüsselverwendung wird automatisch in AWS CloudTrail protokolliert. Sie können diese Schlüssel verwenden, um SageMaker-Trainingsdatenvolumen, Modellartefakte und Daten in S3 zu verschlüsseln. CloudHSM bietet Hardware-Sicherheitsmodule, bei denen der Kunde die Schlüssel selbst verwaltet, was nicht der Anforderung entspricht, dass AWS die Vertrauensbasis verwaltet. SageMaker-eigene transiente Schlüssel und die Standardverschlüsselung für EBS-Volumes bieten keine zentrale Protokollierung der Schlüsselverwendung. Temporäre Token von AWS STS dienen der temporären Berechtigungsverwaltung und sind keine Verschlüsselungsschlüssel für Daten im Ruhezustand.