L'équipe MLOps de BrightRetail souhaite que les data scientists de SageMaker Studio puissent lancer des tâches d'entraînement sur un préfixe d'entraînement S3 spécifique, mais l'équipe doit empêcher ces utilisateurs de lister ou de lire d'autres préfixes S3 dans le même compartiment et de modifier les politiques de clés KMS. Quelle conception IAM à privilège minimum permettra d'atteindre cet objectif ?

L'option correcte applique le principe du moindre privilège. Un rôle d'exécution dédié avec un accès en lecture seule au préfixe S3 spécifique et des droits de déchiffrement KMS garantit que les tâches d'entraînement n'accèdent qu'aux données nécessaires. Les utilisateurs de Studio sont autorisés à appeler sagemaker:CreateTrainingJob et iam:PassRole uniquement pour ce rôle spécifique, ce qui les empêche de lister d'autres préfixes S3 ou de modifier les politiques KMS. Les options incorrectes sont : Attacher une politique de lecture S3 large viole le principe du moindre privilège en donnant un accès excessif. Donner un accès AdminAccess complet est une violation flagrante du moindre privilège et ne repose pas sur des contrôles IAM. Accorder sts:AssumeRole sans iam:PassRole empêcherait les utilisateurs de spécifier ce rôle pour les tâches d'entraînement SageMaker, car iam:PassRole est requis pour transmettre un rôle à un service AWS.