Lake FormationのデータレイクアクセスコントロールにSageMaker Feature Storeを統合し、列レベルのアクセス制御機能を使ってPII特徴量カラムのみを特定のIAMロールに開放するよう設定する
Feature StoreオフラインストアはGlue Data Catalogと連携するが、Lake Formationの列レベル制御はオンラインストアのGetRecord等APIには適用されず、暗号化要件も満たせないため完全な解決策にならない。
D
Feature Group作成時にKMSカスタマーマネージドキー（sagemaker:kms）を指定してオンライン・オフラインストアを暗号化し、IAMポリシーでFeature Group ARN単位のAPIアクション（GetRecord・PutRecordなど）をロールごとに許可・拒否する
✓ 正解
Feature Group作成時のKMS CMK指定によりオンライン・オフラインの両ストアが暗号化され、IAMポリシーでFeature Group ARN単位にAPIアクションを制御することで、PII特徴量グループへのアクセスを特定ロールのみに制限できます。暗号化とアクセス制御の両要件を最もシンプルに満たす方法です。
解説
SageMaker Feature Store では、Feature Group 作成時に AWS KMS カスタマーマネージドキー（CMK）を指定することで、オンラインストア（低レイテンシの特徴量取得用）とオフラインストア（S3 に保存される履歴データ）の両方を暗号化できます。また、IAM ポリシーで `sagemaker:GetRecord`・`sagemaker:PutRecord`・`sagemaker:DescribeFeatureGroup` などのアクションを Feature Group の ARN に紐付けて許可・拒否することで、特定の IAM ロールのみが PII 特徴量グループにアクセスできるよう Feature Group 単位で細かいアクセス制御が実現できます。
選択肢AのS3バケットレベルの暗号化・アクセス制御は、Feature Group 単位のきめ細かいアクセス分離が難しく、同じバケット内の PII 特徴量グループだけを特定チームに制限するには不十分です。
選択肢BのVPCネットワーク制御は、ネットワーク境界での制限は可能ですが、同一 VPC 内の異なるチームの IAM ロール間での Feature Group レベルのアクセス分離には対応できません。
選択肢CのLake FormationとSageMaker Feature Storeの統合は現時点でネイティブにサポートされておらず、Feature Group は Glue Data Catalog と直接統合されないため、列レベルアクセス制御は実現できません。