Een bedrijf host ML-infrastructuur in AWS en het team op kantoor maakt via een IPsec VPN verbinding met een VPC. De VPC heeft enableDnsHostnames en enableDnsSupport ingesteld op true, en de DNS-resolvers van het kantoor wijzen naar de VPC DNS. Het bedrijf verbiedt toegang tot SageMaker notebooks via het openbare internet; alle toegang moet privé blijven via de VPN en binnen het AWS-netwerk. Welke oplossing voldoet aan deze vereisten met de minste ontwikkelingsinspanning?

De correcte oplossing is het aanmaken van een VPC interface endpoint (AWS PrivateLink) voor SageMaker notebooks. Dit endpoint zorgt ervoor dat verkeer naar SageMaker notebooks volledig binnen het AWS-netwerk blijft en toegankelijk is via de VPN, zonder het openbare internet te raken. Dit voldoet aan de beveiligingseis en vereist minimale ontwikkelingsinspanning. Een EC2 bastion host in een publiek subnet (optie 2) zou een openbaar toegangspunt creëren, wat indruist tegen de eis om toegang via het openbare internet te verbieden. Een bastion host in een privé subnet met een NAT gateway (optie 3) zou de toegang via de NAT gateway leiden, wat onnodig complex is en niet de meest directe privéverbinding biedt. Een NAT gateway (optie 4) is bedoeld voor uitgaand verkeer vanuit privé subnetten naar het internet, niet voor inkomende privétoegang tot AWS-services zoals SageMaker notebooks.