DataCoral, een fintech-startup, voert gevoelige modeltraining uit op SageMaker met behulp van aangepaste Docker-containers die nooit toegang mogen hebben tot het openbare internet. Hun beveiligingsbeleid vereist het blokkeren van al het uitgaande internetverkeer van trainingscontainers, terwijl toegang tot S3-trainingsdata via VPC-endpoints nog steeds is toegestaan. Welke configuratiewijziging voldoet aan de vereiste bij het starten van een SageMaker-trainingstaak?

De juiste optie voldoet aan beide eisen: EnableNetworkIsolation op true zetten isoleert de trainingscontainer volledig van het internet. Om toegang tot S3 te behouden voor trainingsdata, is een S3 VPC gateway endpoint (com.amazonaws.<region.s3) nodig, omdat geïsoleerde containers geen directe internettoegang hebben. De uitvoeringsrol moet de benodigde S3- en VPC-endpointmachtigingen hebben. De andere opties zijn onjuist: Het weglaten van EnableNetworkIsolation en alleen vertrouwen op privé-subnets isoleert de containers niet volledig van het internet; SageMaker kan nog steeds toegang hebben tot het internet voor bepaalde functionaliteiten. Een NAT Gateway inschakelen en internettoegang toestaan, zelfs met beveiligingsgroepen, druist in tegen de vereiste om al het uitgaande internetverkeer te blokkeren. Een openbaar subnet en Internet Gateway gebruiken, zelfs met een restrictieve beveiligingsgroep, introduceert onnodige complexiteit en potentiële kwetsbaarheden, en voldoet niet aan de strikte isolatie-eis.