S3 のデータセットが SSE-KMS で暗号化されています。SageMaker ノートブックインスタンスがその S3 データを読み取れるようにするには、どうすればよいですか？

SageMakerノートブックインスタンスがSSE-KMSで暗号化されたS3データを読み取るには、S3バケットへの読み取りアクセスとKMSキーへの復号アクセスが必要です。ノートブックインスタンスにアタッチされたIAMロールに、S3バケットに対するs3:GetObject権限と、KMSキーに対するkms:Decrypt権限を付与することで、この要件を満たせます。KMSキーポリシーにも、このIAMロールがキーを使用できるよう明示的に許可する必要があります。 セキュリティグループの開放はネットワークアクセスを制御しますが、KMSによるデータ復号には直接関係ありません。ノートブックインスタンスをVPCに配置しても、KMSキーポリシーでVPCへのアクセスを許可するだけでは不十分で、IAMロールによるKMSキーの利用許可が必要です。KMSキーをノートブックインスタンスに直接割り当てるという概念は存在しません。IAMロールを介してアクセスを管理するのが正しい方法です。