Un'azienda ospita l'infrastruttura ML in AWS e il team in ufficio si connette tramite una VPN IPsec a una VPC. La VPC ha enableDnsHostnames e enableDnsSupport impostati su true e i resolver DNS dell'ufficio puntano al DNS della VPC. L'azienda proibisce l'accesso ai notebook SageMaker tramite la rete internet pubblica; tutto l'accesso deve rimanere privato tramite la VPN e all'interno della rete AWS. Quale soluzione soddisfa questi requisiti con il minor sforzo di sviluppo?

La creazione di un endpoint di interfaccia VPC (AWS PrivateLink) per i notebook SageMaker è la soluzione più efficiente. Questo endpoint consente l'accesso privato ai notebook SageMaker direttamente dalla VPC, senza attraversare la rete internet pubblica, soddisfacendo il requisito di sicurezza. Poiché i resolver DNS dell'ufficio puntano al DNS della VPC, il traffico verrà instradato automaticamente attraverso l'endpoint, minimizzando lo sforzo di sviluppo. Le altre opzioni sono meno ideali: Un bastion host in una sottorete pubblica esporrebbe il bastion a internet, violando il requisito di accesso privato. Un bastion host in una sottorete privata con un NAT gateway aggiunge complessità e costi inutili, e il NAT gateway è principalmente per il traffico in uscita verso internet, non per l'accesso privato ai servizi AWS. Un NAT gateway per accedere all'endpoint HTTPS del notebook SageMaker non è la soluzione corretta, poiché il NAT gateway è per il traffico in uscita dalla VPC verso internet, non per l'accesso privato ai servizi AWS all'interno della rete AWS.