È necessario eseguire un SageMaker Processing job da un notebook SageMaker per leggere i dati da un bucket S3 privato crittografato con una chiave master del cliente KMS, pre-elaborarli e scrivere i risultati nello stesso bucket. Il codice di pre-elaborazione è archiviato in un'immagine container in Amazon ECR. Quale insieme di azioni relative alle autorizzazioni è necessario intraprendere per consentire al notebook di creare ed eseguire il job di elaborazione e consentire al job di accedere al bucket S3, alla chiave KMS e all'immagine ECR?

L'opzione corretta è la migliore pratica di sicurezza e il metodo funzionale per questa architettura. Il notebook SageMaker necessita solo delle autorizzazioni per avviare il job di elaborazione. Il job di elaborazione stesso, che è un'entità separata in esecuzione su un'infrastruttura gestita da SageMaker, richiede le autorizzazioni per accedere a S3, KMS ed ECR. Assegnare un ruolo IAM specifico al job di elaborazione con le autorizzazioni minime necessarie (principio del privilegio minimo) garantisce che il notebook non abbia accesso diretto a risorse sensibili. L'opzione 1 è errata perché concede troppe autorizzazioni all'istanza del notebook, violando il principio del privilegio minimo. L'opzione 3 è errata perché gli endpoint VPC non sostituiscono la necessità di autorizzazioni IAM per l'accesso a S3 e KMS, e non affronta le autorizzazioni ECR per il job. L'opzione 4 è errata perché l'utilizzo di chiavi di accesso e chiavi segrete direttamente nel codice è una pratica di sicurezza sconsigliata e meno sicura rispetto all'utilizzo di ruoli IAM.