Eğitim verileri için kullanılan bir S3 bucket'ını SSE-S3'ten SSE-KMS'e değiştirdikten sonra, SageMaker eğitim işleri AccessDenied hatalarıyla başarısız olmaya başlar. Mühendis başka hiçbir yapılandırma değişikliği yapmamıştır. Mühendis, hataları düzeltmek için ne yapmalıdır?

Veri şifrelemesi SSE-S3'ten SSE-KMS'e değiştirildiğinde, SageMaker eğitim işlerinin artık S3 nesnelerini şifrelemek ve şifresini çözmek için AWS Key Management Service (KMS) anahtarlarına erişmesi gerekir. Bu erişim, eğitim işlerinin yürütme rolüne ekli IAM politikasında kms:Encrypt ve kms:Decrypt izinleri eklenerek sağlanır. Bu izinler olmadan, SageMaker eğitim işleri KMS anahtarlarını kullanamaz ve bu da AccessDenied hatalarına yol açar. Diğer seçenekler neden yanlış: s3:ListBucket ve s3:GetObject zaten S3'ten veri okumak için gerekli olan temel izinlerdir ve şifreleme mekanizması değiştiğinde bu izinler doğrudan soruna neden olmaz. S3 bucket politikasında aws:SecureTransport koşul anahtarını True olarak ayarlamak, yalnızca güvenli bağlantıların kullanılmasını zorunlu kılar, ancak KMS anahtarlarına erişim sorununu çözmez. kms:CreateGrant izni, bir KMS anahtarı için izinler oluşturmak veya yönetmek içindir, ancak eğitim işlerinin doğrudan şifreleme/şifre çözme işlemleri için gerekli değildir.