Een bedrijf runt een Amazon SageMaker AI-domein in een publiek subnet van een nieuw aangemaakte VPC. Het netwerk is geconfigureerd en engineers hebben toegang tot het domein. Het bedrijf heeft verdacht verkeer ontdekt afkomstig van een specifiek IP-adres en moet dat IP-adres blokkeren. Welke netwerkconfiguratiewijziging zal dit bewerkstelligen?

De juiste optie is het aanmaken van een inkomende netwerk-ACL-regel die verkeer van het specifieke IP-adres weigert en deze toepassen op de netwerk-ACL van het subnet. Netwerk-ACL's (Access Control Lists) fungeren als een firewall voor subnetten en kunnen op subnetniveau verkeer expliciet toestaan of weigeren, inclusief specifieke IP-adressen. Dit is de meest directe en effectieve manier om verdacht verkeer te blokkeren voordat het het SageMaker-domein bereikt. Een security group-regel is onjuist omdat security groups stateful zijn en voornamelijk werken op instantie-niveau. Hoewel ze inkomend verkeer kunnen weigeren, zijn ze minder geschikt voor het blokkeren van verkeer op subnetniveau voor een heel domein. Een shadow-variant en Inference Recommender zijn bedoeld voor A/B-testen of modelvergelijking, niet voor het blokkeren van kwaadaardig verkeer. Een VPC-routetabel is onjuist omdat routetabellen bepalen hoe uitgaand verkeer wordt gerouteerd en niet direct inkomend verkeer op basis van IP-adres blokkeren.