一家金融服务公司正在采用 SageMaker，并担心数据渗漏。机器学习工程师可以使用哪些机制来控制 SageMaker 的数据出口？（选择三项。）

使用 VPC 接口端点 (AWS PrivateLink) 连接到 SageMaker 可以确保所有 SageMaker API 调用和数据传输都通过 AWS 内部网络进行，而不是通过公共互联网，从而防止数据外泄。为训练作业和部署的模型启用网络隔离，意味着模型在运行时无法访问公共互联网，只能访问您指定的 VPC 资源，有效阻止数据流出。限制 SageMaker notebook 预签名 URL 只能从公司允许的 IP 地址使用，可以确保即使 URL 被泄露，未经授权的外部用户也无法访问 notebook 实例，从而保护数据。 服务控制策略 (SCP) 限制对 SageMaker 的访问，但它主要控制哪些账户或用户可以调用 SageMaker 服务，而不是直接控制 SageMaker 内部的数据流出。禁用 SageMaker notebook 实例上的 root 访问权限是安全最佳实践，但它主要防止未经授权的用户在实例上执行特权操作，而不是直接阻止数据外泄。对静态和传输中的数据进行加密并使用 AWS KMS 管理密钥是数据保护的关键措施，但它侧重于数据保密性，而不是阻止数据离开受控环境。