Les instances de bloc-notes SageMaker dans un VPC utilisent des points de terminaison d'interface afin que le trafic API reste sur le réseau AWS, mais les utilisateurs extérieurs au VPC peuvent toujours accéder aux instances de bloc-notes via Internet. Quelles actions devez-vous entreprendre pour empêcher les utilisateurs externes d'accéder aux blocs-notes tout en autorisant l'accès légitime basé sur le VPC ?

La bonne réponse est de créer une politique IAM qui autorise sagemaker:CreatePresignedNotebookInstanceUrl et sagemaker:DescribeNotebookInstance uniquement lorsque les appels proviennent des points de terminaison du VPC. Cette approche utilise des politiques de point de terminaison de VPC pour restreindre l'accès aux API SageMaker, garantissant que les utilisateurs ne peuvent générer des URL pré-signées pour les instances de bloc-notes qu'à partir de l'intérieur du VPC. Modifier les groupes de sécurité n'est pas suffisant car les instances de bloc-notes SageMaker sont accessibles via des URL pré-signées, qui ne sont pas directement affectées par les groupes de sécurité des instances. Ajouter une passerelle NAT et convertir les sous-réseaux en privés ne résoudrait pas le problème d'accès externe via les URL pré-signées, car la connectivité des instances n'est pas le seul vecteur d'accès. Modifier l'ACL réseau du sous-réseau bloquerait le trafic au niveau du sous-réseau, mais ne contrôlerait pas l'accès aux API SageMaker qui génèrent les URL pré-signées.