Eine SageMaker-Domain läuft in einem öffentlichen Subnetz, und das Netzwerk ist korrekt konfiguriert. Es gibt jedoch verdächtigen Datenverkehr, der von einer bestimmten IP-Adresse stammt. Das Unternehmen muss dieser IP den Zugriff auf die Domain verwehren. Welche Netzwerkkonfigurationsänderung erreicht dies?

Netzwerk-ACLs (Network Access Control Lists) sind zustandslose Firewalls auf Subnetzebene, die den Datenverkehr explizit zulassen oder verweigern können. Da die SageMaker-Domain in einem öffentlichen Subnetz läuft und der Datenverkehr von einer bestimmten IP-Adresse blockiert werden muss, ist das Hinzufügen einer Inbound-Regel zu einer Netzwerk-ACL, die diese spezifische IP verweigert, die korrekte Methode. Diese Regel wird auf das gesamte Subnetz angewendet, in dem die Domain gehostet wird, und blockiert den Datenverkehr, bevor er die Sicherheitsgruppen erreicht. Sicherheitsgruppen sind zustandsbehaftet und arbeiten auf Instanzebene. Sie erlauben standardmäßig den gesamten ausgehenden Datenverkehr und verweigern den gesamten eingehenden Datenverkehr, es sei denn, es gibt explizite Regeln, die ihn zulassen. Eine Regel zum Verweigern von Datenverkehr in einer Sicherheitsgruppe ist nicht die primäre Funktion. VPC-Routentabellen steuern, wohin der Datenverkehr geleitet wird, nicht ob er zugelassen oder verweigert wird. SageMaker Inference Recommender und Shadow-Varianten sind für Modelltests und Leistungsoptimierung gedacht, nicht für die Netzwerkzugriffskontrolle.