Sie müssen einen SageMaker Processing-Job von einem SageMaker-Notebook aus ausführen, um Daten aus einem privaten S3-Bucket zu lesen, der mit einem KMS Customer Master Key verschlüsselt ist, diese vorzuverarbeiten und die Ergebnisse in denselben Bucket zurückzuschreiben. Der Vorverarbeitungscode wird in einem Container-Image in Amazon ECR gespeichert. Welche Berechtigungsaktionen sollten Sie ergreifen, damit das Notebook den Processing-Job erstellen und ausführen kann und der Job auf den S3-Bucket, den KMS-Schlüssel und das ECR-Image zugreifen kann?

Die korrekte Antwort ist die beste Methode, um die Berechtigungen für den SageMaker Processing-Job zu verwalten. Die SageMaker-Notebook-Instanz benötigt lediglich Berechtigungen, um den Processing-Job zu erstellen. Der Processing-Job selbst, der die eigentliche Datenverarbeitung durchführt, benötigt dann eine separate IAM-Rolle mit den Berechtigungen für den S3-Bucket (Lesen/Schreiben), den KMS-Schlüssel (Entschlüsselung) und das ECR-Image (Pull). Dies folgt dem Prinzip der geringsten Rechte. Die erste Option ist falsch, da es nicht ratsam ist, der Notebook-Instanz alle Berechtigungen zu gewähren, die der Processing-Job benötigt. Die dritte Option ist falsch, da VPC-Endpunkte den Netzwerkzugriff regeln, aber keine IAM-Berechtigungen ersetzen. Die vierte Option ist falsch, da die Verwendung von Zugriffsschlüsseln und geheimen Zugriffsschlüsseln in einem Notebook für den Zugriff auf AWS-Ressourcen eine schlechte Sicherheitspraxis ist; stattdessen sollten IAM-Rollen verwendet werden.