Uno scienziato dei dati che utilizza un'istanza notebook Amazon SageMaker necessita di accesso sicuro agli oggetti in uno specifico bucket S3. Qual è il modo consigliato per concedere al notebook l'accesso sicuro a quel bucket S3?

La risposta corretta è allegare una policy IAM al ruolo di esecuzione del notebook. I notebook SageMaker assumono un ruolo IAM per interagire con altri servizi AWS. Concedere le autorizzazioni necessarie (GetObject, PutObject, ListBucket) a questo ruolo IAM per lo specifico bucket S3 è il metodo standard e più sicuro per controllare l'accesso. Allegare una policy del bucket S3 direttamente all'ARN del notebook non è il metodo corretto perché i notebook non sono principal IAM diretti a cui si possono allegare policy di bucket in quel modo. Crittografare gli oggetti S3 con una chiave KMS gestita dal cliente non risolve il problema dell'autorizzazione all'accesso al bucket, ma solo della protezione dei dati. Utilizzare le credenziali AWS CLI hardcoded tramite uno script di configurazione del ciclo di vita è una pratica sconsigliata per motivi di sicurezza, poiché espone le credenziali.