Özel, KMS müşteri anahtarıyla şifrelenmiş bir S3 bucket'ından veri okumak, ön işlemek ve sonuçları aynı bucket'a geri yazmak için bir SageMaker notebook'undan bir SageMaker Processing işi çalıştırmanız gerekiyor. Ön işleme kodu, Amazon ECR'deki bir container görüntüsünde depolanır. Notebook'un işleme işini oluşturmasına ve çalıştırmasına ve işin S3 bucket'ına, KMS anahtarına ve ECR görüntüsüne erişmesine izin vermek için izinle ilgili hangi eylemleri gerçekleştirmelisiniz?

Doğru cevap, SageMaker notebook instance'ına işleme işi oluşturma izni veren bir IAM rolü atarken, işleme işinin kendisi için S3, KMS ve ECR erişimi olan ayrı bir IAM rolü belirtmenin en iyi uygulama olduğunu vurgular. Bu yaklaşım, görevler arası yetki ayrımını sağlar ve en az ayrıcalık ilkesine uyar. Notebook instance'ının yalnızca işleme işlerini başlatma iznine ihtiyacı varken, işleme işinin kendisi S3 bucket'ına okuma/yazma, KMS anahtarına ve ECR görüntüsüne erişim için gerekli izinlere sahip olmalıdır. Diğer seçenekler hatalıdır çünkü: İlk seçenek, notebook instance'ına gereğinden fazla yetki verir ve güvenlik riskini artırır. Üçüncü seçenek, VPC endpoint'lerinin yapılandırılmasını gereksiz yere karıştırır ve bu, izin yönetimiyle doğrudan ilgili değildir. Dördüncü seçenek, IAM kullanıcı access key'leri ve secret access key'leri kullanmayı önerir ki bu, IAM rolleri yerine uzun süreli kimlik bilgileri kullanıldığı için güvenlik açısından kötü bir uygulamadır.