Het MLOps-team van BrightRetail wil dat data scientists in SageMaker Studio trainingstaken kunnen starten voor een specifieke S3-trainingsprefix, maar het team moet voorkomen dat die gebruikers andere S3-prefixes in dezelfde bucket kunnen weergeven of lezen en dat ze KMS-sleutelbeleid kunnen wijzigen. Welk IAM-ontwerp met minimale privileges zal dit bereiken?

De juiste aanpak volgt het principe van minimale privileges. Door een specifieke uitvoeringsrol te creëren met alleen de benodigde S3-leesrechten voor de trainingsprefix en KMS-decryptrechten, wordt ongeautoriseerde toegang tot andere data voorkomen. Studio-gebruikers krijgen alleen de rechten sagemaker:CreateTrainingJob en iam:PassRole voor déze specifieke uitvoeringsrol. Dit stelt hen in staat trainingstaken te starten met de juiste permissies, zonder directe S3- of KMS-beheerrechten te hebben. Incorrecte opties: Een breed S3-leesbeleid schendt het principe van minimale privileges en vertrouwt op gebruikersgedrag, wat een beveiligingsrisico vormt. Volledige AdminAccess is een ernstig beveiligingslek en ondermijnt IAM-beveiliging. Het verlenen van sts:AssumeRole zonder iam:PassRole voorkomt dat gebruikers de uitvoeringsrol kunnen doorgeven aan SageMaker voor trainingstaken, waardoor de functionaliteit wordt geblokkeerd.