Uma empresa exige que as instâncias de notebook do SageMaker sejam executadas dentro de uma VPC sem acesso à internet, e os dados de treinamento estão no S3. Qual abordagem satisfaz o requisito de segurança (sem conectividade com a internet) enquanto permite a funcionalidade do SageMaker?

A configuração de endpoints de interface da VPC (AWS PrivateLink) permite que as instâncias de notebook do SageMaker acessem serviços da AWS, como S3 (para dados de treinamento) e o próprio SageMaker, de forma privada, sem precisar de acesso à internet. Restringir os grupos de segurança associados garante que apenas o tráfego essencial seja permitido. A opção de VPN Site-to-Site ainda expõe a VPC à internet através da VPN, o que viola o requisito de "sem acesso à internet". Uma política do IAM que proíbe o acesso à internet impediria o notebook de acessar até mesmo os serviços da AWS necessários, como o S3. Grupos de segurança que bloqueiam todo o tráfego de entrada e saída tornariam o notebook inutilizável, pois ele não conseguiria se comunicar com nenhum serviço.