核心概述
在受規範產業（尤其是醫療保健）中，開發者的敏捷性與合規性的嚴格把關常常相互衝突。ZS Associates 透過 Amazon SageMaker Studio 建置了一套安全加固的機器學習平台，讓超過 1,000 名每日活躍使用者、分散於 200 多個 SageMaker Domain 的資料科學家與分析師，既能快速完成即時分析，又能符合醫療產業的合規要求。
技術架構與安全機制
1. 完全離線運作
平台預設採用 Internet‑Free 模式，所有部署皆不直接連網。透過 Amazon VPC Endpoint 只允許受控的 AWS 服務通訊，杜絕外部未授權連線。
2. 受控套件管理
ZS 將 JFrog Artifactory 與向上倉儲（upward repository）結合，並啟用即時套件掃描，確保任何程式碼在進入 SageMaker 環境前皆已通過安全檢查，防止惡意或被竄改的程式碼流入。
3. 多租戶隔離
每個租戶擁有獨立的 SageMaker Domain，內部配備 Amazon EFS（彈性檔案系統）獨立磁碟、專屬 IAM 角色 與可調整的網路設定。此設計不僅提供強化的資源隔離，也方便 成本追蹤 與 存取控管。
4. 三層 IAM 角色架構
- Domain Execution Role：作為使用者的預設執行角色。
- Studio User Role：可覆寫 Domain 預設，實現更細緻的權限控制。
- Space Execution Role：管理共享工作空間（Space）的存取。
此層級化的角色機制落實 最小權限原則（principle of least privilege），同時保留運營彈性。
5. 全面加密
所有關鍵資源（EFS、S3、ECR、CodeCommit）皆預設啟用 AWS KMS（金鑰管理服務）加密，確保資料在靜止與傳輸過程中皆受保護。
業務影響與未來展望
透過上述架構，ZS 成功在嚴格的醫療合規框架下，讓全公司超過千名使用者自由使用機器學習工具，提升了 模型開發速度 與 跨部門協作。同時，多租戶與細粒度 IAM 的設計，使合規審計更為透明，降低了合規風險與運營成本。
未來，隨著 AWS 雲端服務 持續演進，ZS 可望將此安全模型延伸至其他受規範產業（如金融、製藥），並結合 自動化合規檢查 與 AI 驅動的安全監控，進一步縮短從概念驗證到生產部署的週期，讓組織在保持合規的同時，持續保持創新活力。