Je moet een SageMaker-model trainen en hosten met gevoelige klantgegevens die at rest versleuteld moeten zijn. Het bedrijf wil dat AWS de root of trust voor de sleutels beheert, maar vereist ook dat al het sleutelgebruik wordt gelogd. Welke versleutelingsaanpak voldoet aan deze vereisten?

De correcte optie is het gebruik van door de klant beheerde sleutels (CMK's) in AWS Key Management Service (KMS). KMS biedt een beheerde service voor het creëren en controleren van versleutelingssleutels, waarbij AWS de root of trust beheert. CMK's maken het mogelijk om alle sleutelgebruik te loggen via AWS CloudTrail, wat voldoet aan de vereiste voor logging. Deze sleutels kunnen worden gebruikt om zowel de ML-datavolumes (gekoppeld aan de SageMaker-instantie) als modelartefacten en gegevens in S3 te versleutelen. Onjuiste opties: AWS CloudHSM biedt hardware-beveiligingsmodules, maar het beheer van de sleutels is complexer en de vraag stelt specifiek dat AWS de root of trust moet beheren, wat KMS beter invult. SageMaker ingebouwde tijdelijke sleutels of standaardversleuteling voor EBS-volumes bieden niet de gedetailleerde controle en logging die CMK's in KMS wel bieden. Tijdelijke tokens van AWS Security Token Service (STS) zijn bedoeld voor tijdelijke, beperkte toegang tot AWS-resources en niet voor het versleutelen van data at rest.