DataCoral, una startup de tecnología financiera, ejecuta entrenamiento de modelos sensibles en SageMaker utilizando contenedores Docker personalizados que nunca deben acceder a la internet pública. Su política de seguridad requiere bloquear todo el tráfico de internet saliente de los contenedores de entrenamiento, al mismo tiempo que permite el acceso a los datos de entrenamiento de S3 a través de VPC endpoints. ¿Qué cambio de configuración cumplirá el requisito al lanzar un trabajo de entrenamiento de SageMaker?

La opción correcta es establecer EnableNetworkIsolation en true y configurar un VPC gateway endpoint para S3. EnableNetworkIsolation aísla completamente el contenedor de entrenamiento de la red pública, impidiendo cualquier tráfico saliente no deseado. El VPC gateway endpoint para S3 permite que el contenedor acceda a los datos de S3 de forma privada y segura, sin pasar por la internet pública, lo cual es un requisito clave. Es fundamental que el rol de ejecución de SageMaker tenga los permisos necesarios para S3 y los VPC endpoints. Las opciones incorrectas son: Omitir EnableNetworkIsolation no garantiza el aislamiento de red para los contenedores de SageMaker, incluso en subredes privadas, ya que SageMaker puede aprovisionar recursos que requieren acceso a internet si no se especifica lo contrario. Habilitar un NAT Gateway permitiría el acceso a internet, lo cual contradice el requisito de seguridad. Configurar una subred pública y un Internet Gateway, incluso con un grupo de seguridad restrictivo, introduce un riesgo de acceso a internet y no es la forma más segura de cumplir el requisito de aislamiento.