Un ingegnere dei dati deve condividere dataset in Amazon S3 con data scientist di tre dipartimenti: Finanza, Marketing e Risorse Umane. Alcuni dataset sono sensibili e dovrebbero essere accessibili solo alla Finanza. Come dovrebbe configurare l'ingegnere l'accesso a S3 per soddisfare questi requisiti?

La risposta corretta è la più efficiente e granulare. Creare un singolo bucket S3 con cartelle separate per dati sensibili e non sensibili (ad esempio, s3://nome-bucket/sensibile/ e s3://nome-bucket/non-sensibile/) permette una gestione centralizzata. L'applicazione di policy IAM direttamente ai gruppi di utenti (Finanza, Marketing, Risorse Umane) consente di definire con precisione chi può accedere a quali percorsi (prefissi) all'interno del bucket. La Finanza può avere accesso a entrambi i prefissi, mentre Marketing e Risorse Umane solo al prefisso non-sensibile. Le altre opzioni sono meno ideali: Creare un bucket per ogni dataset è inefficiente e difficile da gestire su larga scala. Le ACL (Access Control Lists) sono un meccanismo di controllo degli accessi legacy e meno granulare rispetto alle policy IAM o alle policy di bucket. L'uso di policy di bucket per ogni dataset, sebbene migliore delle ACL, soffre ancora della proliferazione di bucket. L'ultima opzione, pur utilizzando un singolo bucket e cartelle, propone una policy di bucket che può diventare complessa e difficile da mantenere per gestire accessi differenziati tra più gruppi e prefissi. Le policy IAM sui gruppi sono più adatte per questo scenario.