Firma będzie szkolić i hostować model ML w SageMaker. Wszystkie dane muszą być szyfrowane w spoczynku. Firma chce, aby AWS utrzymywał root of trust dla kluczy szyfrujących i aby użycie kluczy było logowane, minimalizując jednocześnie narzut operacyjny. Która opcja spełnia te wymagania przy najmniejszym wysiłku operacyjnym?

Użycie kluczy AWS KMS zarządzanych przez klienta (CMK) jest najlepszym rozwiązaniem, ponieważ AWS KMS jest usługą zarządzaną, która utrzymuje root of trust dla kluczy szyfrujących, loguje użycie kluczy za pośrednictwem AWS CloudTrail i minimalizuje narzut operacyjny. Można ich używać do szyfrowania zarówno woluminów EBS, jak i artefaktów modelu S3. AWS STS służy do generowania tymczasowych poświadczeń, a nie do zarządzania kluczami szyfrującymi. AWS CloudHSM zapewnia sprzętowy moduł bezpieczeństwa, ale wiąże się z większym narzutem operacyjnym i kosztami. Wbudowane klucze przejściowe SageMaker nie spełniają wymagań dotyczących zarządzania kluczami przez klienta ani logowania użycia kluczy.