VPC의 SageMaker 노트북 인스턴스는 인터페이스 엔드포인트를 사용하여 API 트래픽이 AWS 네트워크에 유지되도록 하지만, VPC 외부 사용자는 여전히 인터넷을 통해 노트북 인스턴스에 액세스할 수 있습니다. 합법적인 VPC 기반 액세스를 허용하면서 외부 사용자가 노트북에 액세스하는 것을 방지하려면 어떤 조치를 취해야 합니까?

정답은 VPC 엔드포인트에서 시작될 때만 sagemaker:CreatePresignedNotebookInstanceUrl 및 sagemaker:DescribeNotebookInstance 호출을 허용하는 IAM 정책을 생성하여 노트북에 액세스하는 모든 IAM 보안 주체에 연결하는 것입니다. 이는 노트북 인스턴스에 대한 액세스를 제어하는 가장 효과적인 방법입니다. CreatePresignedNotebookInstanceUrl은 사용자가 인터넷을 통해 노트북에 액세스할 수 있도록 하는 사전 서명된 URL을 생성합니다. 이 호출을 VPC 엔드포인트로 제한하면 VPC 외부의 사용자가 사전 서명된 URL을 생성하여 노트북에 액세스하는 것을 방지할 수 있습니다. 보안 그룹을 수정하는 것은 노트북 인스턴스에 대한 직접적인 네트워크 액세스를 제한하지만, 사전 서명된 URL을 통한 액세스는 막지 못합니다. NAT 게이트웨이를 추가하고 서브넷을 프라이빗으로 변경하는 것은 인터넷 액세스를 제한하지만, VPC 외부 사용자가 사전 서명된 URL을 통해 노트북에 액세스하는 것을 막지 못합니다. 서브넷 네트워크 ACL을 변경하는 것은 보안 그룹과 유사하게 직접적인 네트워크 액세스를 제한하지만, 사전 서명된 URL을 통한 액세스는 막지 못합니다.