Een bedrijf gaat een ML-model trainen en hosten in SageMaker. Alle data moet at rest versleuteld zijn. Het bedrijf wil dat AWS de root of trust voor de encryptiesleutels beheert en dat het sleutelgebruik wordt gelogd, terwijl de operationele overhead wordt geminimaliseerd. Welke optie voldoet aan deze vereisten met de minste operationele inspanning?

De juiste optie is het gebruik van door de klant beheerde AWS KMS keys. Deze keys worden beheerd door AWS als root of trust, voldoen aan de vereiste voor logging van sleutelgebruik via CloudTrail en minimaliseren de operationele overhead omdat AWS de infrastructuur beheert. AWS STS creëert tijdelijke tokens voor authenticatie en autorisatie, niet voor data-encryptie at rest. AWS CloudHSM biedt een hogere mate van controle over de sleutels, maar vereist meer operationele inspanning voor het beheer van de HSM's zelf, wat in strijd is met de eis om de operationele overhead te minimaliseren. SageMaker ingebouwde transient keys zijn niet bedoeld voor persistente encryptie van data at rest en bieden geen centrale controle of logging van sleutelgebruik.