Een data scientist die een Amazon SageMaker notebook instance gebruikt, heeft veilige toegang nodig tot objecten in een specifieke S3 bucket. Wat is de aanbevolen manier om de notebook veilige toegang te verlenen tot die S3 bucket?

De aanbevolen methode is om een IAM policy te koppelen aan de execution role van de SageMaker notebook. Deze IAM role wordt aangenomen door de notebook instance en verleent de benodigde permissies (GetObject, PutObject, ListBucket) voor de specifieke S3 bucket. Dit is de meest veilige en schaalbare manier, omdat het gebruikmaakt van AWS's Identity and Access Management (IAM) om fijnmazige toegangscontrole te bieden zonder hardcoded credentials. Het koppelen van een S3 bucket policy aan de notebook ARN als principal is minder flexibel en kan leiden tot complexere beleidsregels als meerdere notebooks toegang nodig hebben. Het versleutelen van S3-objecten met een KMS-sleutel die alleen de notebook-eigenaar kan gebruiken, regelt de toegang tot de sleutel, niet direct de toegang tot de S3-objecten zelf voor de notebook. Het gebruik van een lifecycle configuration script om AWS CLI in te stellen met access keys en secret access keys is een minder veilige praktijk, omdat het hardcoded credentials introduceert die een beveiligingsrisico vormen.