ある企業が、新しく作成したVPCのパブリックサブネットでAmazon SageMaker AIドメインを実行しています。ネットワークは設定されており、エンジニアはそのドメインにアクセスできます。同社は特定のIPアドレスから発信されている疑わしいトラフィックを発見し、そのIPアドレスをブロックする必要があります。これを実現するには、どのネットワーク設定を変更すればよいですか？

ネットワークACLはサブネットレベルで動作し、インバウンドおよびアウトバウンドトラフィックを許可または拒否するステートレスなルールセットです。特定のIPアドレスからの疑わしいトラフィックをブロックするには、そのIPアドレスからのトラフィックを拒否するインバウンドルールをネットワークACLに追加し、そのACLをSageMakerドメインが存在するサブネットに関連付けます。 セキュリティグループはインスタンスレベルで動作し、ステートフルなフィルタリングを提供しますが、サブネット全体ではなく個々のリソースに適用されます。シャドウバリアントとSageMaker Inference Recommenderは、モデルのテストやトラフィックルーティングの最適化に使用され、セキュリティの目的には適していません。VPCルートテーブルはトラフィックのルーティング方法を決定しますが、特定のIPアドレスからのトラフィックをブロックする機能はありません。