DataCoral, ein Fintech-Startup, führt sensibles Modelltraining auf SageMaker unter Verwendung benutzerdefinierter Docker-Container durch, die niemals auf das öffentliche Internet zugreifen dürfen. Ihre Sicherheitsrichtlinie erfordert das Blockieren des gesamten ausgehenden Internetverkehrs von Trainingscontainern, während der Zugriff auf S3-Trainingsdaten über VPC-Endpunkte weiterhin erlaubt sein muss. Welche Konfigurationsänderung erfüllt die Anforderung beim Starten eines SageMaker-Trainingsjobs?

Die korrekte Option isoliert den Trainingscontainer vollständig vom Internet, während der Zugriff auf S3 über einen VPC Gateway-Endpunkt weiterhin möglich ist. EnableNetworkIsolation auf true blockiert jeglichen ausgehenden Internetverkehr vom Container. Der S3 VPC Gateway-Endpunkt (Typ com.amazonaws.<region.s3) ermöglicht den privaten Zugriff auf S3, ohne das öffentliche Internet zu durchqueren. Die Ausführungsrolle benötigt entsprechende Berechtigungen für S3 und die VPC-Endpunkte. Die Option, EnableNetworkIsolation wegzulassen und sich auf private Subnetze zu verlassen, ist unzureichend, da SageMaker-Trainingscontainer standardmäßig Internetzugang haben, es sei denn, die Netzwerkisolation ist explizit aktiviert. Ein NAT-Gateway würde den Internetzugang ermöglichen, was den Anforderungen widerspricht. Die Konfiguration eines öffentlichen Subnetzes mit einem Internet-Gateway würde ebenfalls Internetzugang ermöglichen, selbst wenn eine Sicherheitsgruppe den ausgehenden Verkehr blockieren soll, da dies nicht die primäre Methode zur Isolierung von SageMaker-Trainingsjobs ist.