Le istanze notebook di SageMaker in una VPC utilizzano endpoint di interfaccia in modo che il traffico API rimanga sulla rete AWS, ma gli utenti esterni alla VPC possono comunque accedere alle istanze notebook tramite Internet. Quali azioni dovresti intraprendere per impedire agli utenti esterni di accedere ai notebook, consentendo al contempo l'accesso legittimo basato su VPC?

La risposta corretta è creare una policy IAM che limiti l'accesso alle API sagemaker:CreatePresignedNotebookInstanceUrl e sagemaker:DescribeNotebookInstance solo quando le richieste provengono da endpoint VPC specifici. Questo garantisce che gli utenti possano generare URL pre-firmati per accedere ai notebook solo dall'interno della VPC, bloccando l'accesso esterno pur mantenendo la funzionalità interna. Le altre opzioni sono meno efficaci o inappropriate: Modificare i gruppi di sicurezza delle istanze notebook per consentire solo il traffico dagli intervalli CIDR della VPC non impedirebbe l'accesso esterno tramite gli URL pre-firmati generati da un endpoint pubblico, poiché il traffico verso l'istanza notebook avverrebbe comunque tramite l'interfaccia di rete. Aggiungere un gateway NAT e convertire le sottoreti in private non impedisce l'accesso esterno agli URL pre-firmati. Il NAT è per il traffico in uscita da una sottorete privata a Internet, non per il controllo dell'accesso in entrata. Modificare l'ACL di rete della sottorete per bloccare il traffico da qualsiasi IP esterno alla VPC è una misura di sicurezza a livello di sottorete, ma non impedisce l'accesso tramite gli URL pre-firmati di SageMaker, che sono gestiti a livello di servizio.