Una empresa entrenará y alojará un modelo de ML en SageMaker. Todos los datos deben cifrarse en reposo. La empresa desea que AWS mantenga la raíz de confianza para las claves de cifrado y que se registre el uso de las claves, minimizando al mismo tiempo la sobrecarga operativa. ¿Qué opción satisface estos requisitos con el menor esfuerzo operativo?

Las claves de AWS KMS administradas por el cliente (CMK) cumplen con todos los requisitos. AWS KMS mantiene la raíz de confianza para las claves, registra el uso de las claves a través de CloudTrail y ofrece una gestión de claves sencilla con baja sobrecarga operativa. El cifrado de S3 y EBS con CMK de KMS es una práctica estándar para proteger los datos en reposo. AWS STS no se utiliza para cifrar datos en reposo, sino para proporcionar credenciales temporales. AWS CloudHSM proporciona un control de claves más granular, pero con una sobrecarga operativa significativamente mayor, ya que el cliente gestiona las claves dentro del HSM. Las claves transitorias integradas de SageMaker no son una opción de cifrado estándar para los volúmenes de EBS o los artefactos de S3, y el cifrado predeterminado de EBS no permite el control de claves que requiere la empresa.