GreenField Media 在同一个 AWS 账户中运行 SageMaker 训练并托管模型。他们要求所有训练和托管实例都在特定的私有子网中启动，并使用仅将流量限制到其内部分析 VPC 的安全组。哪种 SageMaker 配置更改能正确地强制训练和端点托管使用指定的子网和安全组？

要强制 SageMaker 训练和模型托管使用特定的私有子网和安全组，您需要在创建训练作业 (CreateTrainingJob) 时通过 VpcConfig 指定所需的子网和安全组 ID。同样，在创建模型 (CreateModel) 和创建端点配置 (CreateEndpointConfig) 时，也需要包含相同的 VpcConfig。这将确保 SageMaker 在这些指定的私有子网中创建网络接口 (ENI)，并应用指定的安全组规则，从而限制流量仅流向内部分析 VPC。 其他选项不正确： 将安全组附加到 SageMaker 服务主体不会自动将这些设置应用于所有 SageMaker 资源。 SageMaker 训练和端点不会自动使用账户默认 VPC，需要明确配置。 仅配置 EndpointConfig 不会影响训练作业的 VPC 设置，训练和托管的 VPC 配置是独立的。