金融サービス企業がSageMaker Training Jobでモデルをトレーニングしている。規制要件により、モデルアーティファクト（S3出力）とトレーニングインスタンスのローカルストレージ（EBSボリューム）の両方を、AWSが管理するキーではなく顧客管理キー（CMK）で暗号化しなければならない。SageMaker Training Jobで両方のストレージを顧客管理CMKで暗号化するために必要な設定の組み合わせとして正しいものを2つ選んでください。
A
SageMaker Training JobのOutputDataConfig.KmsKeyIdにCMKのARNを指定して、S3に出力されるモデルアーティファクトを暗号化する
SageMaker Training Jobで全ストレージをCMK暗号化するには2つの個別設定が必要です。OutputDataConfig.KmsKeyIdはS3に保存されるモデルアーティファクトの暗号化を担当し、ResourceConfig.VolumeKmsKeyIdはトレーニングインスタンスのEBSボリューム暗号化を担当します。この2つの設定により、モデルアーティファクトとEBSボリュームの両方を顧客管理キー（CMK）で暗号化できます。
選択肢BS3バケットのデフォルト暗号化設定にCMKを指定することはS3バケットのデフォルト暗号化はS3オブジェクトのみに適用されEBSには影響しません。
選択肢DSageMaker実行IAMロールにkms:GenerateDataKey権限を付与することはIAMロールへのkms権限付与はCMK使用の前提条件ですが、それだけでは暗号化は有効にならず、各リソースで明示的にキーIDを指定する必要があります。