NimbusBiotech vereist dat alle modeltraining-artefacten en de EBS scratch volumes die door trainingsinstances worden gebruikt, worden versleuteld met hun door de klant beheerde KMS-sleutel. Ze willen ook dat SageMaker training jobs S3-trainingsdata kunnen lezen/schrijven die met die sleutel zijn versleuteld. Welke combinatie van stappen zal de encryptie at rest voor zowel S3 als EBS voor SageMaker-training correct afdwingen?

De correcte optie voldoet aan alle vereisten: het inschakelen van standaard S3-bucket server-side encryptie met SSE-KMS en de klantbeheerde KMS-sleutel zorgt voor versleuteling van S3-trainingsdata. Het doorgeven van de KMS-sleutel-ID als VolumeKmsKeyId in CreateTrainingJob versleutelt de EBS scratch volumes. Het bijwerken van het sleutelbeleid om de SageMaker execution role en de SageMaker service principal toegang te geven, is essentieel voor zowel S3- als EBS-versleuteling. De andere opties zijn onjuist omdat: SSE-S3 voldoet niet aan de vereiste voor een door de klant beheerde KMS-sleutel. EBS-encryptie standaard inschakelen in het account is niet voldoende voor SageMaker-specifieke EBS-volumes zonder expliciete configuratie in de training job. Client-side encryptie is een optie, maar de vraag vereist versleuteling van EBS scratch volumes met de KMS-sleutel, wat deze optie niet afdekt. Netwerkisolatie (EnableNetworkIsolation=true) is een beveiligingsmaatregel voor netwerkverkeer, niet voor encryptie at rest van S3-data of EBS-volumes.