本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# Studio 笔记本
<a name="encryption-at-rest-studio"></a>

在 Amazon SageMaker Studio 中，您的 SageMaker Studio 笔记本和数据可以存储在以下位置：
+ S3 存储桶 — 当您加入 Studio 并启用可共享的笔记本资源时， SageMaker AI 会在亚马逊简单存储服务 (Amazon S3) Simple Service 存储桶中共享笔记本快照和元数据。
+ EFS 卷 — 当您加入 Studio 时， SageMaker AI 会将亚马逊弹性文件系统（Amazon EFS）卷附加到您的域中，用于存储 Studio 笔记本电脑和数据文件。删除域后，EFS 卷仍然存在。
+ EBS 卷 - 在 Studio 中打开笔记本时，Amazon Elastic Block Store (Amazon EBS) 将附加到笔记本运行所在的实例上。实例运行期间，EBS 卷持续存在。

SageMaker AI 使用 AWS Key Management Service (AWS KMS) 对 S3 存储桶和两个卷进行加密。默认情况下，它使用由 AWS 服务账户管理的 KMS 密钥。为了获得更多控制权，您可以在加入 Studio 时或通过 SageMaker API 指定自己的客户托管密钥。有关更多信息，请参阅[亚马逊 SageMaker AI 域名概述](gs-studio-onboard.md)和[CreateDomain](https://docs.aws.amazon.com/sagemaker/latest/APIReference/API_CreateDomain.html)。

在 `CreateDomain` API 中，使用 `S3KmsKeyId` 参数为可共享笔记本指定客户托管密钥。使用 `KmsKeyId` 参数为 EFS 和 EBS 卷指定客户托管密钥。两个卷都使用相同的客户托管密钥。可共享笔记本的客户托管密钥可以是用于卷的相同客户托管密钥，也可以是不同的客户托管密钥。

**重要**  
存储卷内用户的工作目录是 `/home/sagemaker-user`。如果您指定自己的 AWS KMS 密钥，则工作目录中的所有内容都将使用您的客户托管密钥进行加密。如果您未指定 AWS KMS 密钥，则使用 AWS 托管密钥对里面的`/home/sagemaker-user`数据进行加密。无论您是否指定 AWS KMS 密钥，工作目录之外的所有数据都使用 AWS 托管密钥进行加密。