Musisz uruchomić zadanie SageMaker Processing z poziomu notatnika SageMaker, aby odczytać dane z prywatnego zasobnika S3 zaszyfrowanego kluczem głównym klienta KMS, wstępnie je przetworzyć i zapisać wyniki z powrotem do tego samego zasobnika. Kod wstępnego przetwarzania jest przechowywany w obrazie kontenera w Amazon ECR. Jaki zestaw działań związanych z uprawnieniami należy podjąć, aby umożliwić notatnikowi tworzenie i uruchamianie zadania przetwarzania oraz zezwolić zadaniu na dostęp do zasobnika S3, klucza KMS i obrazu ECR?

Poprawna odpowiedź jest prawidłowa, ponieważ SageMaker Processing Jobs działają w oddzielnym środowisku od instancji notebooka. Instancja notebooka potrzebuje uprawnień do tworzenia zadania przetwarzania. Samo zadanie przetwarzania, działające w swoim własnym kontekście, potrzebuje uprawnień do wykonywania swoich operacji: dostępu do S3 (odczyt/zapis), klucza KMS (do deszyfrowania/szyfrowania danych S3) i obrazu ECR (do pobrania kodu przetwarzania). Przypisanie oddzielnej roli IAM do zadania przetwarzania jest standardową i bezpieczną praktyką, zapewniającą zasadę najmniejszych uprawnień. Pozostałe opcje są nieprawidłowe: Opcja 1 przypisuje wszystkie uprawnienia do instancji notebooka, co narusza zasadę najmniejszych uprawnień i jest niepotrzebne, ponieważ zadanie przetwarzania nie dziedziczy uprawnień instancji notebooka. Opcja 3 sugeruje punkty końcowe VPC, które są mechanizmem sieciowym, a nie kontrolą uprawnień IAM. Opcja 4 używa kluczy dostępu i tajnych kluczy dostępu, co jest mniej bezpieczną praktyką niż użycie ról IAM, szczególnie w środowisku SageMaker.