Zespół MLOps w BrightRetail chce, aby analitycy danych w SageMaker Studio mogli uruchamiać zadania szkoleniowe dla określonego prefiksu szkoleniowego S3, ale zespół musi uniemożliwić tym użytkownikom wyświetlanie lub odczytywanie innych prefiksów S3 w tym samym zasobniku oraz zmienianie polityk kluczy KMS. Jaki projekt IAM z najmniejszymi uprawnieniami to umożliwi?

Prawidłowa odpowiedź stosuje zasadę najmniejszych uprawnień. Tworząc dedykowaną rolę wykonawczą z ograniczonym dostępem do S3 (tylko do określonego prefiksu) i uprawnieniami do deszyfrowania KMS, a następnie zezwalając profilom użytkowników Studio na przekazywanie tej roli (iam:PassRole) do zadań szkoleniowych (sagemaker:CreateTrainingJob), zapewniamy, że użytkownicy mogą uruchamiać zadania tylko z niezbędnymi uprawnieniami. Bezpośrednie uprawnienia do zarządzania S3 lub KMS są odmawiane, co zapobiega nieautoryzowanemu dostępowi i zmianom polityk kluczy KMS. Inne opcje są nieprawidłowe, ponieważ: Szeroka polityka odczytu S3 narusza zasadę najmniejszych uprawnień i pozwala użytkownikom na dostęp do innych prefiksów. Pełny AdminAccess jest zbyt szeroki i niebezpieczny, a poleganie na polityce organizacyjnej zamiast IAM jest niewystarczające. Przyznanie sts:AssumeRole bez iam:PassRole uniemożliwiłoby użytkownikom przekazanie roli do zadań SageMaker, co jest wymagane do uruchomienia zadań szkoleniowych.