Musisz wytrenować i hostować model SageMaker, używając wrażliwych danych klientów, które muszą być szyfrowane w spoczynku. Firma chce, aby AWS utrzymywał główny element zaufania dla kluczy, ale wymaga również, aby wszystkie użycia kluczy były logowane. Które podejście do szyfrowania spełnia te wymagania?

Prawidłowa odpowiedź to użycie kluczy zarządzanych przez klienta (CMK) w AWS Key Management Service (KMS). KMS pozwala AWS na utrzymywanie głównego elementu zaufania (kluczy głównych), jednocześnie umożliwiając klientowi pełną kontrolę nad kluczami szyfrującymi i ich użyciem. Wszystkie operacje na kluczach KMS są automatycznie logowane w AWS CloudTrail, co spełnia wymóg logowania użycia kluczy. CMK mogą być używane do szyfrowania woluminów danych ML (np. EBS) oraz danych i artefaktów modelu w S3. Inne opcje są nieprawidłowe: AWS CloudHSM wymaga zarządzania kluczami przez klienta, a firma chce, aby AWS utrzymywał główny element zaufania. Wbudowane klucze przejściowe SageMaker nie oferują kontroli ani logowania użycia kluczy, co jest wymogiem. Tymczasowe tokeny z AWS STS służą do uwierzytelniania i autoryzacji, a nie do szyfrowania danych w spoczynku.