Ein Unternehmen betreibt eine Amazon SageMaker AI-Domain in einem öffentlichen Subnetz einer neu erstellten VPC. Das Netzwerk ist konfiguriert und Ingenieure können auf die Domain zugreifen. Das Unternehmen hat verdächtigen Datenverkehr entdeckt, der von einer bestimmten IP-Adresse stammt, und muss diese IP-Adresse blockieren. Welche Änderung der Netzwerkkonfiguration würde dies erreichen?

Die korrekte Antwort ist, eine Inbound-Regel für eine Netzwerk-ACL zu erstellen, die den Datenverkehr von der spezifischen IP-Adresse verweigert und diese auf die Netzwerk-ACL des Subnetzes anzuwenden. Netzwerk-ACLs (NACLs) sind zustandslos und agieren auf Subnetz-Ebene. Sie können explizite Regeln zum Ablehnen von Datenverkehr von bestimmten IP-Adressen enthalten, was sie ideal für das Blockieren verdächtigen Datenverkehrs macht. Sicherheitsgruppen sind zustandsbehaftet und agieren auf Instanz-Ebene. Sie erlauben standardmäßig alles, was nicht explizit verweigert wird, und können keine expliziten Ablehnungsregeln für eingehenden Datenverkehr enthalten, nur Zulassungsregeln. Eine Shadow-Variante und SageMaker Inference Recommender sind für A/B-Tests oder Leistungsoptimierung gedacht, nicht für das Blockieren von Netzwerkverkehr. Ein VPC-Routentabelleneintrag steuert, wohin der Datenverkehr geleitet wird, nicht, ob er zugelassen oder abgelehnt wird.