Una empresa aloja infraestructura de ML en AWS y el equipo de la oficina se conecta a una VPC a través de una VPN IPsec. La VPC tiene enableDnsHostnames y enableDnsSupport establecidos en true, y los resolvedores de DNS de la oficina apuntan al DNS de la VPC. La empresa prohíbe el acceso a los notebooks de SageMaker a través de Internet público; todo el acceso debe permanecer privado a través de la VPN y dentro de la red de AWS. ¿Qué solución cumple estos requisitos con el menor esfuerzo de desarrollo?

La opción correcta es crear un VPC interface endpoint (AWS PrivateLink) para los notebooks de SageMaker. Esto permite que el tráfico a los notebooks de SageMaker permanezca completamente dentro de la red de AWS y sea accesible a través de la VPN, sin pasar por Internet público. Esta solución es la que requiere menor esfuerzo de desarrollo porque PrivateLink simplifica la conectividad privada a los servicios de AWS. Las otras opciones son incorrectas: Crear un host bastión EC2 en una subred pública no cumple con el requisito de prohibir el acceso a través de Internet público, ya que el bastión estaría expuesto. Crear un host bastión EC2 en una subred privada con un NAT Gateway añade complejidad innecesaria y el NAT Gateway se usa para tráfico saliente a Internet, no para acceso privado a servicios de AWS. Crear un NAT Gateway en la VPC y acceder al endpoint HTTPS del notebook a través de la VPN mediante el NAT Gateway es incorrecto porque el NAT Gateway está diseñado para permitir que las instancias en subredes privadas inicien conexiones salientes a Internet, no para facilitar el acceso entrante privado a servicios de AWS.