Il team MLOps di BrightRetail desidera che i data scientist in SageMaker Studio siano in grado di avviare processi di training su uno specifico prefisso di training S3, ma il team deve impedire a tali utenti di elencare o leggere altri prefissi S3 nello stesso bucket e di modificare le policy delle chiavi KMS. Quale design IAM con il privilegio minimo raggiungerà questo obiettivo?

Questa opzione implementa il principio del privilegio minimo. Un ruolo di esecuzione dedicato con accesso ristretto al prefisso S3 specifico e alla chiave KMS per la decrittografia garantisce che i processi di training possano accedere solo ai dati necessari. Consentire agli utenti di Studio di chiamare sagemaker:CreateTrainingJob e iam:PassRole per quel ruolo specifico permette loro di avviare i processi senza avere accesso diretto ai dati S3 o alle chiavi KMS. Le altre opzioni sono errate perché: la seconda concede un accesso S3 troppo ampio; la terza concede privilegi eccessivi (AdminAccess) agli utenti di Studio; la quarta è errata perché iam:PassRole è necessario per consentire a SageMaker di assumere il ruolo di esecuzione per conto dell'utente.