ヘルスケア企業が患者の医療記録（PHI：Protected Health Information、米国HIPAAが定める保護対象保健情報）を使用した疾患予測モデルを SageMaker で構築しています。セキュリティ要件

Question

ヘルスケア企業が患者の医療記録（PHI：Protected Health Information、米国HIPAAが定める保護対象保健情報）を使用した疾患予測モデルを SageMaker で構築しています。セキュリティ要件は次の3つです：
①SageMaker トレーニングジョブはインターネットにアクセスしてはならない
②分散トレーニング時のコンテナ間通信データを暗号化する
③SageMaker API への呼び出しはパブリックインターネットを経由してはならない
すべての要件を満たすために設定すべき構成を2つ選んでください。

Accepted Answer

正解: SageMaker トレーニングジョブをプライベートサブネット（インターネットゲートウェイなし）の VPC に配置し、EnableInterContainerTrafficEncryption を true に設定する / SageMaker API エンドポイントおよび SageMaker Runtime 向けの VPC エンドポイント（AWS PrivateLink）を作成し、API 呼び出しを VPC プライベートネットワーク経由にルーティングする。選択肢Aは、VPCプライベートサブネット配置でトレーニングジョブのインターネットアクセスを遮断し要件①を満たし、EnableInterContainerTrafficEncryptionでコンテナ間通信を暗号化して要件②を満たします。

選択肢CはSageMaker API/Runtime向けVPCエンドポイント（PrivateLink）でAPIコールをAWSプライベートネットワーク経由にルーティングし、要件③を満たします。

選択肢BのSSE-KMSはデータ保存時暗号化であり、要件①②
③のいずれにも対応しません。

選択肢Dのネットワーク分離モードは要件①のみ対応し、②
③を満たしません。

Answer

SageMaker トレーニングジョブの実行ロールに AmazonSageMakerFullAccess ポリシーをアタッチし、S3 バケットの暗号化を SSE-KMS（AWS Key Management Service）で有効化する — AmazonSageMakerFullAccessポリシーはアクセス権限の付与であり、SSE-KMSはS3データ保存時の暗号化設定です。どちらもインターネットアクセス遮断・コンテナ間通信暗号化・APIパス制御のいずれの要件にも直接対応しません。

Answer

SageMaker のネットワーク分離モード（network_isolation=True）を有効化し、S3 バケットポリシーで特定の SageMaker 実行ロールからのアクセスのみ許可する — ネットワーク分離モード（network_isolation=True）はトレーニングジョブのインターネットアクセスを遮断して要件①を満たしますが、コンテナ間通信の暗号化（要件②）およびAPIコールの経路制御（要件③）には対応できません。

解説

解説