Você criou uma VPC com um endpoint de interface de VPC para a API do SageMaker Service. Você deseja restringir o acesso para que apenas certas instâncias EC2 e usuários IAM possam chamar a API do SageMaker. A VPC tem uma única sub-rede pública. Quais duas ações protegerão o acesso ao endpoint? (Escolha duas.)

Para restringir o acesso ao endpoint da VPC para a API do SageMaker, você pode usar uma política de endpoint de VPC. Esta política permite especificar quais usuários ou funções do IAM podem usar o endpoint, garantindo que apenas entidades autorizadas possam fazer chamadas de API. Além disso, ajustar o grupo de segurança associado à interface de rede do endpoint é crucial. Grupos de segurança atuam como firewalls virtuais, controlando o tráfego de entrada e saída. Ao configurar o grupo de segurança para permitir o tráfego apenas de instâncias EC2 específicas (por seus grupos de segurança ou endereços IP privados), você restringe o acesso em nível de rede. Restringir o acesso apenas modificando as políticas do IAM dos usuários não é suficiente, pois não impede que outros usuários ou serviços com permissões adequadas acessem o endpoint. Modificar a ACL de rede não é a melhor opção, pois ACLs são sem estado e operam em um nível de granularidade menor do que os grupos de segurança, que são com estado e mais adequados para este cenário. Criar um endpoint do SageMaker Runtime não é relevante para proteger o acesso à API do SageMaker Service.