После изменения S3-корзины, используемой для обучающих данных, с SSE-S3 на SSE-KMS, обучающие задания SageMaker начали завершаться с ошибками AccessDenied. Инженер не вносил никаких других изменений в конфигурацию. Что должен сделать инженер, чтобы устранить сбои?

Когда S3-корзина изменяется с SSE-S3 на SSE-KMS, данные шифруются с помощью AWS Key Management Service (KMS). Роль выполнения SageMaker, используемая для обучающих заданий, должна иметь разрешения на взаимодействие с KMS для дешифрования данных. Включение kms:Encrypt и kms:Decrypt в политике IAM этой роли позволяет ей получать доступ к ключу KMS и использовать его для дешифрования обучающих данных. Неправильные варианты: s3:ListBucket и s3:GetObject обычно уже присутствуют для доступа к S3, и их отсутствие привело бы к ошибкам до изменения шифрования. Установка aws:SecureTransport в политике S3-корзины требует, чтобы запросы использовали HTTPS, но не решает проблему разрешений KMS. kms:CreateGrant требуется для создания разрешений на использование ключа KMS, но не для его непосредственного использования для шифрования/дешифрования данных обучающими заданиями.