Vous devez exécuter une tâche SageMaker Processing à partir d'un bloc-notes SageMaker pour lire des données d'un compartiment S3 privé chiffré avec une clé principale client KMS, les prétraiter et écrire les résultats dans le même compartiment. Le code de prétraitement est stocké dans une image conteneur dans Amazon ECR. Quel ensemble d'actions liées aux autorisations devez-vous prendre pour permettre au bloc-notes de créer et d'exécuter la tâche de traitement et de permettre à la tâche d'accéder au compartiment S3, à la clé KMS et à l'image ECR ?

L'option correcte est la meilleure pratique de sécurité et de gestion des rôles. Le rôle attaché à l'instance de bloc-notes SageMaker n'a besoin que des autorisations pour créer et lancer la tâche de traitement. La tâche de traitement elle-même, qui s'exécute dans un environnement distinct, doit avoir son propre rôle IAM avec les autorisations granulaires nécessaires pour accéder à S3 (lecture/écriture), à la clé KMS (déchiffrer les données S3) et à ECR (tirer l'image du conteneur). Cela adhère au principe du moindre privilège. Les autres options sont incorrectes car : La première option attribue trop de privilèges au rôle du bloc-notes, ce qui n'est pas une bonne pratique de sécurité. La troisième option ne mentionne pas comment la tâche de traitement accède à S3, KMS et ECR, et les points de terminaison VPC ne remplacent pas les autorisations IAM. La quatrième option utilise des clés d'accès et des clés d'accès secrètes directement dans le code, ce qui est une mauvaise pratique de sécurité.