あるチームがAmazon SageMaker notebook instanceをデプロイする予定ですが、どのnotebook instanceもrootアクセスを許可しないようにする必要があります。root権限を付与するnotebook instanceのデプロイを防ぐには、どの方法を使用しますか？

IAM condition keysを使用すると、SageMaker notebook instanceの作成時に特定の条件を強制できます。具体的には、sagemaker:RootAccess condition keyをfalseに設定することで、rootアクセスが有効なnotebook instanceのデプロイをIAMポリシーレベルで事前に阻止できます。これは、セキュリティポリシーを強制するための最も直接的かつ予防的な方法です。 AWS KMS keysは暗号化に使用され、リソースのデプロイ条件を制御するものではありません。Amazon EventBridgeやAWS CloudFormationとLambdaを組み合わせる方法は、リソースがデプロイされた後に検出して削除する事後的なアプローチであり、デプロイ自体を阻止するものではないため、ポリシー違反のリソースが一時的に存在することになります。