Vous devez entraîner et héberger un modèle SageMaker en utilisant des données client sensibles qui doivent être chiffrées au repos. L'entreprise souhaite qu'AWS maintienne la racine de confiance pour les clés, mais exige également que toute utilisation des clés soit journalisée. Quelle approche de chiffrement répond à ces exigences ?

L'utilisation de clés gérées par le client (CMK) dans AWS Key Management Service (KMS) répond à toutes les exigences. KMS maintient la racine de confiance pour les clés, et toutes les utilisations de CMK sont automatiquement journalisées dans AWS CloudTrail, ce qui permet de suivre l'accès aux clés. Ces clés peuvent être utilisées pour chiffrer les volumes de données ML (volumes EBS attachés aux instances SageMaker) et les artefacts de modèle et les données stockées dans S3. Les clés stockées dans AWS CloudHSM sont gérées par le client, ce qui ne correspond pas à l'exigence qu'AWS maintienne la racine de confiance. Les clés transitoires intégrées de SageMaker sont gérées par AWS et ne fournissent pas de journalisation d'utilisation détaillée pour des clés spécifiques. Les jetons temporaires d'AWS STS sont des informations d'identification d'accès et non des clés de chiffrement.