NimbusBiotechは、すべてのモデルトレーニングアーティファクトと、トレーニングインスタンスで使用されるEBSスクラッチボリュームを、顧客管理のKMSキーで暗号化することを要求しています。また、SageMakerトレーニングジョブが、そのキーで暗号化されたS3トレーニングデータを読み書きできることも望んでいます。SageMakerトレーニングのS3とEBSの両方で保存時の暗号化を正しく強制するステップの組み合わせはどれですか？

この選択肢は、要件をすべて満たしています。S3バケットのデフォルト暗号化を顧客管理のKMSキー（SSE-KMS）で設定することで、トレーニングデータがS3に保存される際に暗号化されます。同じKMSキーIDをCreateTrainingJobのVolumeKmsKeyIdに指定することで、EBSスクラッチボリュームもそのキーで暗号化されます。さらに、キーポリシーを更新してSageMaker実行ロールとSageMakerサービスプリンシパルにキーの使用を許可することで、SageMakerが暗号化されたデータにアクセスできるようになります。 他の選択肢は要件を満たしません。SSE-S3はAWS管理キーを使用するため、顧客管理キーの要件に反します。クライアント側暗号化はS3の保存時暗号化要件を満たしますが、EBSスクラッチボリュームの暗号化要件には対応していません。ネットワーク分離は転送中のデータ保護に関連し、保存時の暗号化とは直接関係ありません。