Las instancias de notebook de SageMaker en una VPC utilizan puntos de conexión de interfaz para que el tráfico de la API permanezca en la red de AWS, pero los usuarios externos a la VPC aún pueden acceder a las instancias de notebook a través de Internet. ¿Qué acciones debe tomar para evitar que los usuarios externos accedan a los notebooks, al mismo tiempo que permite el acceso legítimo basado en la VPC?

La opción correcta es crear una política de IAM que restrinja las acciones sagemaker:CreatePresignedNotebookInstanceUrl y sagemaker:DescribeNotebookInstance para que solo se permitan cuando las solicitudes se originen desde los puntos de conexión de la VPC. Esto asegura que el acceso a los notebooks de SageMaker, incluso para generar URLs pre-firmadas, solo sea posible desde dentro de la VPC, impidiendo el acceso externo a través de Internet. Las otras opciones son incorrectas porque: Modificar los grupos de seguridad solo controlaría el tráfico de red directo, pero no las llamadas a la API de SageMaker que pueden originarse desde fuera de la VPC. Un NAT Gateway y subredes privadas no impiden el acceso a la API de SageMaker desde Internet, solo controlan el tráfico saliente de las instancias. Cambiar la ACL de red de la subred es una medida de seguridad a nivel de red, pero no restringe las llamadas a la API de SageMaker que se realizan a través de los puntos de conexión de servicio de AWS.