DataCoral, una startup fintech, esegue l'addestramento di modelli sensibili su SageMaker utilizzando container Docker personalizzati che non devono mai accedere a Internet pubblico. La loro politica di sicurezza richiede il blocco di tutto il traffico Internet in uscita dai container di addestramento, pur consentendo l'accesso ai dati di addestramento S3 tramite gli endpoint VPC. Quale modifica alla configurazione soddisferà il requisito al momento dell'avvio di un processo di addestramento SageMaker?

L'opzione corretta soddisfa i requisiti di sicurezza isolando completamente il container di addestramento dalla rete pubblica (EnableNetworkIsolation su true) e consentendo l'accesso ai dati S3 tramite un endpoint gateway VPC S3. Questo endpoint permette al traffico S3 di rimanere all'interno della rete AWS, senza attraversare Internet pubblico. Il ruolo di esecuzione necessita delle autorizzazioni appropriate per S3 e per l'uso dell'endpoint VPC. L'omissione di EnableNetworkIsolation non garantisce l'isolamento completo, poiché SageMaker potrebbe comunque tentare di accedere a Internet per dipendenze o aggiornamenti. L'abilitazione di un NAT Gateway fornirebbe accesso a Internet, violando il requisito di blocco. La configurazione di una sottorete pubblica con un Internet Gateway, anche con un gruppo di sicurezza restrittivo, introduce un punto di accesso a Internet che la politica di sicurezza vuole evitare.