Day 1 - SageMaker IAM 보안: 실행 역할과 최소 권한

📌 핵심 정리

• SageMaker 권한은 사용자 정책(누가 API를 호출하는가)과 실행 역할(서비스가 대신 무엇을 하는가) 두 경로로 갈린다.
• 학습 중 AccessDenied는 거의 항상 실행 역할의 S3·ECR·KMS 권한 문제이지 사용자 정책 문제가 아니다.
• 역할은 신뢰 정책(누가 맡을 수 있나 = sagemaker.amazonaws.com)과 권한 정책(무엇을 할 수 있나)이 둘 다 있어야 작동한다.
• 사용자에게는 API 호출 권한에 더해 **iam:PassRole**이 필요하다. 이 누락이 작업 생성 실패의 단골 원인.
• 최소 권한은 액션·리소스·조건 세 축으로 좁히고, 가드레일은 명시적 Deny로 강제한다.

권한이 흐르는 두 경로

이번 주는 ML 솔루션을 "안전하고 책임감 있게, 그리고 싸게" 운영하는 영역이고, 첫날 주제는 권한이다. SageMaker는 사용자가 직접 호출하는 작업과 SageMaker가 사용자를 대신해 수행하는 작업이 분리되어 있다. 이 둘을 헷갈리면 권한 시나리오를 매번 틀린다.