BrightRetailのMLOpsチームは、SageMaker Studioのデータサイエンティストが特定のS3トレーニングプレフィックスに対してトレーニングジョブを起動できるようにしたいと考えていますが、チームはそれらのユーザーが同じバケット内の他のS3プレフィックスをリストしたり読み取ったりすること、およびKMSキーポリシーを変更することを防ぐ必要があります。これを実現する最小権限のIAM設計はどれですか？

この選択肢は、最小権限の原則に従い、セキュリティと機能性の両方を満たします。トレーニングジョブの実行ロールにS3の特定のプレフィックスへの読み取りアクセスとKMSキーの復号化権限のみを付与することで、データサイエンティストは必要なデータにのみアクセスできます。Studioユーザープロファイルにsagemaker:CreateTrainingJobと、その専用実行ロールに対するiam:PassRoleのみを許可することで、ユーザーはトレーニングジョブを開始できますが、S3やKMSの管理権限は持ちません。 他の選択肢は以下の理由で不適切です。 広範なS3読み取りポリシーは、他のS3プレフィックスへのアクセスを防ぐという要件を満たしません。 完全なAdminAccessは、最小権限の原則に反し、セキュリティリスクが高すぎます。 iam:PassRoleがないと、ユーザーはトレーニングジョブに実行ロールを渡すことができず、ジョブの起動に失敗します。