VPC 内の SageMaker notebook instances はインターフェースエンドポイントを使用するため、API トラフィックは AWS ネットワーク上に留まりますが、VPC 外のユーザーはインターネット経由で notebook instances にアクセスできます。正当な VPC ベースのアクセスを許可しつつ、外部ユーザーがノートブックにアクセスできないようにするには、どのようなアクションを実行する必要がありますか？

正解は、VPC エンドポイントからのアクセスのみを許可する IAM ポリシーを作成し、それを関連する IAM プリンシパルにアタッチすることです。これにより、sagemaker:CreatePresignedNotebookInstanceUrl および sagemaker:DescribeNotebookInstance アクションが VPC エンドポイント経由でのみ実行されるように制限され、外部からのアクセスが効果的にブロックされます。 他の選択肢は不適切です。セキュリティグループの変更は、VPC 内からのアクセスを許可するだけで、VPC エンドポイント経由のアクセスを強制するものではありません。NAT ゲートウェイはアウトバウンドトラフィックを管理するものであり、インバウンドアクセス制御には直接関係ありません。ネットワーク ACL の変更は、VPC エンドポイントの利用を強制するものではなく、より広範なアクセス制御メカニズムです。