您创建了一个VPC，其中包含一个用于SageMaker Service API的VPC接口端点。您希望限制访问，以便只有特定的EC2实例和IAM用户可以调用SageMaker API。该VPC只有一个公共子网。哪两项操作将保护对该端点的访问？（选择两项。）

附加VPC端点策略允许您在端点级别定义哪些IAM用户或角色可以访问SageMaker API，从而实现精细的访问控制。通过调整端点网络接口上的安全组，您可以基于源IP地址或安全组来限制对端点的网络访问，确保只有特定的EC2实例能够连接。仅修改用户的IAM策略不足以保护端点本身，因为其他用户或角色可能仍能访问。网络ACL是无状态的，且作用于子网级别，不如安全组在实例级别提供更精细的控制。创建SageMaker Runtime VPC接口端点与保护Service API端点是不同的目的。