SageMaker domain 正在公共子网中运行，网络配置正确，但现在有可疑流量源自某个特定 IP 地址。公司需要阻止该 IP 访问该 domain。哪种网络配置更改可以实现此目的？

正确答案是“创建一个网络 ACL 入站规则，拒绝特定 IP，并将该 ACL（或规则）与该 domain 使用的子网关联。” 这是因为网络 ACL (NACL) 在子网级别运行，可以精确控制进出子网的流量，包括拒绝特定 IP 地址的流量。将拒绝规则添加到与 SageMaker domain 所在子网关联的 NACL，可以有效阻止该 IP 地址访问 domain。 其他选项不正确： 安全组在实例级别运行，虽然可以拒绝特定 IP，但 SageMaker domain 通常不直接与单个安全组关联，且 NACL 在子网层提供更广泛的保护。 创建影子变体和使用 Inference Recommender 是用于 A/B 测试或模型部署策略，与阻止恶意 IP 访问无关。 VPC 路由表用于决定流量的下一跳，不能直接用于拒绝特定源 IP 的入站流量。