SageMaker-Notebook-Instanzen in einer VPC verwenden Interface-Endpunkte, sodass der API-Datenverkehr im AWS-Netzwerk verbleibt. Benutzer außerhalb der VPC können jedoch weiterhin über das Internet auf die Notebook-Instanzen zugreifen. Welche Maßnahmen sollten Sie ergreifen, um zu verhindern, dass externe Benutzer auf die Notebooks zugreifen, während legitimer VPC-basierter Zugriff weiterhin möglich ist?

Die korrekte Option ist, eine IAM-Richtlinie zu erstellen, die den Zugriff auf sagemaker:CreatePresignedNotebookInstanceUrl und sagemaker:DescribeNotebookInstance nur zulässt, wenn die Aufrufe von den VPC-Endpunkten stammen. Dies stellt sicher, dass der Zugriff auf die Notebook-Instanzen ausschließlich über das AWS-Netzwerk innerhalb der VPC erfolgt und externe Benutzer keinen Zugriff erhalten. Die Presigned URL ist der Mechanismus, mit dem Benutzer auf die Notebook-Instanz zugreifen. Die Änderung der Sicherheitsgruppen würde den Zugriff auf die Notebook-Instanzen selbst einschränken, aber nicht den Mechanismus, über den die Presigned URL generiert wird. Ein NAT Gateway ist für ausgehenden Internetzugang gedacht und würde den eingehenden Zugriff nicht kontrollieren. Die Änderung der Netzwerk-ACL würde den gesamten Datenverkehr von außerhalb der VPC blockieren, was auch legitime Zugriffe über die Presigned URL verhindern könnte, wenn diese nicht über den VPC-Endpunkt generiert wird.