Gemeinsam genutzte Amazon SageMaker Studio Notebooks sind nur über ein VPN erreichbar. Das Unternehmen muss Zugriffskontrollen durchsetzen, um Angreifer daran zu hindern, Presigned URLs zu verwenden, um auf die Notebooks zuzugreifen. Welche Konfiguration erfüllt diese Anforderung?

Die korrekte Option ist, die Studio-Client-IP-Validierung mithilfe der IAM-Richtlinienbedingung aws:sourceIp zu erzwingen. Dies stellt sicher, dass nur Anfragen von einer bestimmten IP-Adresse oder einem IP-Bereich (z. B. dem VPN des Unternehmens) auf die SageMaker Studio Notebooks zugreifen können. Dadurch wird der Zugriff über vorab signierte URLs von außerhalb des zugelassenen Netzwerks effektiv verhindert, selbst wenn ein Angreifer eine solche URL erlangt. Die Option aws:sourceVpc ist nicht anwendbar, da der Zugriff über ein VPN erfolgt und nicht direkt aus einer VPC. aws:PrimaryTag und aws:PrincipalTag sind für die Validierung von Ressourcen-Tags oder Prinzipal-Tags gedacht und bieten keine Kontrolle über die Netzwerkquelle des Zugriffs.