一位使用 Amazon SageMaker 筆記本實例的資料科學家需要安全地存取特定 S3 儲存貯體中的物件。建議如何授予筆記本安全存取該 S3 儲存貯體？

正確答案是將 IAM 政策附加到筆記本的執行角色，允許對特定 S3 儲存貯體執行 GetObject、PutObject 和 ListBucket。這是因為 SageMaker 筆記本實例透過其關聯的 IAM 執行角色來取得 AWS 資源的權限。為該角色附加一個精細的 IAM 政策，明確指定對目標 S3 儲存貯體的必要操作（GetObject、PutObject、ListBucket），是授予安全且最小權限存取的標準且推薦方法。 附加 S3 儲存貯體政策不適用於 SageMaker 筆記本 ARN，因為筆記本實例本身沒有 ARN 可以作為主體。使用客戶管理型 AWS KMS 金鑰加密 S3 物件是關於資料加密，而非存取控制。在筆記本上設定 AWS CLI 並提供存取金鑰和秘密存取金鑰是一種不安全的做法，會將憑證直接嵌入筆記本中，違反了安全最佳實踐。