DataCoral, une startup fintech, effectue des entraînements de modèles sensibles sur SageMaker en utilisant des conteneurs Docker personnalisés qui ne doivent jamais accéder à l'internet public. Leur politique de sécurité exige de bloquer tout le trafic internet sortant des conteneurs d'entraînement tout en autorisant l'accès aux données d'entraînement S3 via des points de terminaison VPC. Quelle modification de configuration répondra à l'exigence lors du lancement d'une tâche d'entraînement SageMaker ?

L'option correcte isole le conteneur d'entraînement du réseau public tout en autorisant l'accès aux services AWS nécessaires. Définir EnableNetworkIsolation sur true bloque tout le trafic réseau entrant et sortant du conteneur, à l'exception du trafic vers les services AWS via des points de terminaison VPC. Le point de terminaison de passerelle S3 (com.amazonaws.<region.s3) est essentiel pour permettre l'accès aux données d'entraînement S3 sans passer par l'internet public. Le rôle d'exécution doit avoir les autorisations S3 et VPC nécessaires. Les autres options sont incorrectes car : Omettre EnableNetworkIsolation ne garantit pas l'isolation réseau complète, même dans un sous-réseau privé sans passerelle NAT, car SageMaker peut encore fournir un accès internet par défaut. Activer une passerelle NAT permettrait un accès internet, ce qui contredit l'exigence de sécurité. Configurer un sous-réseau public avec une passerelle Internet et tenter de bloquer le trafic sortant via un groupe de sécurité est une approche moins sécurisée et plus complexe que l'isolation réseau dédiée de SageMaker.