Sie haben eine VPC mit einem VPC-Schnittstellen-Endpunkt für die SageMaker Service API erstellt. Sie möchten den Zugriff so einschränken, dass nur bestimmte EC2-Instances und IAM-Benutzer die SageMaker API aufrufen können. Die VPC verfügt über ein einziges öffentliches Subnetz. Welche zwei Aktionen sichern den Zugriff auf den Endpunkt? (Wählen Sie zwei)

Um den Zugriff auf einen VPC-Schnittstellen-Endpunkt für die SageMaker Service API einzuschränken, sind zwei Hauptmaßnahmen erforderlich. Erstens können Sie eine VPC-Endpunktrichtlinie an den Endpunkt anhängen. Diese Richtlinie ist eine IAM-Ressourcenrichtlinie, die genau definiert, welche IAM-Prinzipale (Benutzer, Rollen) welche Aktionen über den Endpunkt ausführen dürfen. Dies erfüllt die Anforderung, den Zugriff für bestimmte IAM-Benutzer zu beschränken. Zweitens sollten Sie die Sicherheitsgruppe an der Elastic Network Interface (ENI) des Endpunkts anpassen. Sicherheitsgruppen agieren als virtuelle Firewalls auf Instanzebene und steuern den In- und Outbound-Datenverkehr. Indem Sie die Sicherheitsgruppe so konfigurieren, dass nur der Datenverkehr von bestimmten EC2-Instanzen zugelassen wird, erfüllen Sie die Anforderung, den Zugriff auf bestimmte EC2-Instanzen zu beschränken. Die Änderung der IAM-Richtlinien der Benutzer allein würde den Endpunkt nicht schützen. Netzwerk-ACLs sind zustandslos und arbeiten auf Subnetz-Ebene, was für diese spezifische Anforderung weniger präzise ist als Sicherheitsgruppen. Ein SageMaker Runtime VPC-Schnittstellen-Endpunkt ist für Inferenz-Endpunkte gedacht, nicht für die Service API.