Je moet een SageMaker Processing job uitvoeren vanuit een SageMaker notebook om gegevens te lezen uit een private S3-bucket die is versleuteld met een KMS customer master key, deze voor te bewerken en de resultaten terug te schrijven naar dezelfde bucket. De voorbewerkingscode is opgeslagen in een containerimage in Amazon ECR. Welke set van permissie-gerelateerde acties moet je ondernemen om de notebook toe te staan de processing job aan te maken en uit te voeren, en de job toegang te geven tot de S3-bucket, de KMS-sleutel en de ECR-image?

Het correcte antwoord beschrijft de best practice voor het toewijzen van permissies in AWS SageMaker. De SageMaker notebook-instantie heeft alleen permissies nodig om de processing job te starten. De processing job zelf, die de daadwerkelijke gegevensverwerking uitvoert, heeft een aparte IAM-rol nodig met de specifieke permissies voor S3 (lezen/schrijven), KMS (ontsleutelen) en ECR (pullen van de containerimage). Dit volgt het principe van least privilege, waarbij elke component alleen de permissies krijgt die strikt noodzakelijk zijn voor zijn functie. De andere opties zijn incorrect omdat: De eerste optie te veel permissies toekent aan de notebook-instantie, wat een beveiligingsrisico vormt. De derde optie onnodig VPC-endpoints introduceert voor permissiebeheer en niet alle benodigde permissies dekt. De vierde optie het gebruik van access keys en secret access keys in de notebook voor de processing job voorstelt, wat een slechte beveiligingspraktijk is en afgeraden wordt in AWS.