某公司將在 SageMaker 中訓練和託管 ML 模型。所有靜態資料都必須加密。該公司希望 AWS 維護加密金鑰的信任根，並記錄金鑰使用情況，同時將營運開銷降到最低。哪個選項能以最少的營運工作滿足這些要求？

正確答案是使用客戶管理的 AWS KMS 金鑰來加密 EBS 磁碟區和 S3 模型成品。AWS KMS (Key Management Service) 讓 AWS 維護加密金鑰的信任根，並自動記錄金鑰使用情況，同時將營運開銷降到最低。客戶管理的金鑰 (CMK) 讓您對金鑰有更多控制權，例如定義金鑰政策和排程金鑰刪除。 其他選項不符合所有要求： AWS STS 建立的是臨時憑證，而不是用於靜態資料加密的金鑰。 AWS CloudHSM 提供高安全性，但營運開銷顯著較高，不符合「將營運開銷降到最低」的要求。 SageMaker 內建的暫時金鑰和 EBS 預設加密不提供客戶對金鑰的控制權，也無法滿足記錄金鑰使用情況的特定要求。