Un'azienda addestrerà e ospiterà un modello ML in SageMaker. Tutti i dati devono essere crittografati a riposo. L'azienda desidera che AWS mantenga la root of trust per le chiavi di crittografia e che l'utilizzo delle chiavi sia registrato, riducendo al minimo l'overhead operativo. Quale opzione soddisfa questi requisiti con il minor sforzo operativo?

L'opzione corretta è utilizzare le chiavi AWS KMS gestite dal cliente (CMK) perché KMS fornisce una radice di fiducia gestita da AWS, registra l'utilizzo delle chiavi in CloudTrail e offre un equilibrio tra controllo e basso overhead operativo. Le CMK consentono di crittografare i volumi EBS e gli artefatti di S3 a riposo. Le altre opzioni sono meno adatte: AWS STS è per credenziali temporanee, non per la crittografia a riposo. AWS CloudHSM offre un controllo maggiore ma con un overhead operativo significativamente più elevato, poiché richiede la gestione degli HSM. SageMaker non ha "chiavi transitorie integrate" per la crittografia, e la crittografia predefinita di EBS utilizza chiavi gestite da AWS, che non soddisfano il requisito di registrazione dell'utilizzo delle chiavi specifico per il cliente.