Debe entrenar y alojar un modelo de SageMaker utilizando datos confidenciales de clientes que deben cifrarse en reposo. La empresa quiere que AWS mantenga la raíz de confianza para las claves, pero también requiere que se registre todo el uso de las claves. ¿Qué enfoque de cifrado satisface estos requisitos?

La opción correcta es utilizar claves administradas por el cliente (CMK) en AWS Key Management Service (KMS). KMS permite a AWS mantener la raíz de confianza para las claves, lo que satisface el requisito de la empresa. Además, todas las operaciones con CMK en KMS se registran automáticamente en AWS CloudTrail, proporcionando un registro completo del uso de las claves. Esto cumple el requisito de auditoría. Las CMK se pueden usar para cifrar volúmenes de datos de ML (como volúmenes de Amazon EBS adjuntos a instancias de SageMaker) y para cifrar artefactos del modelo y datos almacenados en Amazon S3. Las claves de CloudHSM son administradas por el cliente, no por AWS, lo que no cumple el requisito de que AWS mantenga la raíz de confianza. Las claves transitorias integradas de SageMaker no ofrecen el control ni el registro detallado del uso de claves que se requiere. Los tokens temporales de STS se utilizan para la autenticación y autorización, no para el cifrado de datos en reposo.