Команда MLOps BrightRetail хочет, чтобы специалисты по данным в SageMaker Studio могли запускать обучающие задания для определенного префикса S3, но команда должна запретить этим пользователям просматривать или читать другие префиксы S3 в том же бакете и изменять политики ключей KMS. Какой дизайн IAM с наименьшими привилегиями позволит этого добиться?

Правильный ответ реализует принцип наименьших привилегий. Создание выделенной роли выполнения с ограниченным доступом на чтение к конкретному префиксу S3 и разрешениями на расшифровку KMS гарантирует, что обучающие задания могут получить доступ только к необходимым данным. Разрешение профилям пользователей Studio вызывать sagemaker:CreateTrainingJob и iam:PassRole для этой конкретной роли выполнения позволяет им запускать задания, не предоставляя прямого доступа к S3 или KMS. Это предотвращает просмотр или чтение других префиксов S3 и изменение политик ключей KMS. Неправильные варианты: Широкая политика чтения S3 нарушает принцип наименьших привилегий, предоставляя доступ ко всем префиксам S3. Предоставление AdminAccess является серьезным нарушением безопасности и не соответствует принципу наименьших привилегий. Организационные политики не заменяют политики IAM для управления доступом. Отсутствие iam:PassRole не позволит пользователям Studio передать роль выполнения в обучающее задание, что сделает их неспособными запускать задания с этой ролью.