金融サービス会社がAmazon SageMakerで複数インスタンスを使用した分散機械学習トレーニングを実行しています。セキュリティ審査の結果、①トレーニングインスタンスのMLストレージボリューム、
②S3に書き込むモデ

Question

金融サービス会社がAmazon SageMakerで複数インスタンスを使用した分散機械学習トレーニングを実行しています。セキュリティ審査の結果、①トレーニングインスタンスのMLストレージボリューム、
②S3に書き込むモデルアーティファクト、
③複数インスタンス間のノード間通信（MPI：Message Passing Interfaceなどの分散処理プロトコルによる通信）のすべてを暗号化することが必須と判断されました。これらすべての要件を同時に満たす設定の組み合わせはどれですか？（2つ選択）

Accepted Answer

正解: SageMaker Estimatorのvolume_kms_key_idとoutput_kms_key_idにKMSカスタマーマネージドキー（CMK）のARNを指定する / SageMaker Estimatorのenable_inter_container_traffic_encryption=Trueを設定する。正解：
A. SageMaker Estimatorのvolume_kms_key_idとoutput_kms_key_idにKMSカスタマーマネージドキー（CMK）のARNを指定する
B. SageMaker Estimatorのenable_inter_container_traffic_encryption=Trueを設定する。

ストレージボリューム暗号化にはvolume_kms_key_id、出力アーティファクト暗号化にはoutput_kms_key_idでCMKを指定します。ノード間通信の暗号化にはenable_inter_container_traffic_encryption=Trueが必要です。enable_network_isolation=Trueはネットワーク遮断であり暗号化ではありません。SSE-S3はS3保存時のみの暗号化でボリュームとノード間通信をカバーしません。

Answer

SageMaker Estimatorのenable_network_isolation=Trueを設定することでノード間通信を暗号化する — enable_network_isolation=Trueはネットワーク遮断を実現する機能であり、通信の暗号化ではないため、この要件に直接対応しません。

Answer

S3バケットのデフォルト暗号化にSSE-S3（AWSマネージドキーによるサーバーサイド暗号化）を設定するだけで全要件を満たせる — SSE-S3はS3オブジェクトの保存時暗号化のみであり、ボリュームとノード間通信の暗号化をカバーしないため、全要件を満たせません。

解説