Firma hostuje infrastrukturę ML w AWS, a zespół w biurze łączy się za pośrednictwem IPsec VPN z VPC. W VPC włączono enableDnsHostnames i enableDnsSupport, a resolvery DNS w biurze wskazują na DNS VPC. Firma zabrania dostępu do notebooków SageMaker przez publiczny internet; cały dostęp musi pozostać prywatny przez VPN i w sieci AWS. Które rozwiązanie spełnia te wymagania przy najmniejszym nakładzie pracy deweloperskiej?

Prawidłowa odpowiedź to utworzenie punktu końcowego interfejsu VPC (AWS PrivateLink) dla notebooków SageMaker. AWS PrivateLink umożliwia prywatne połączenie z usługami AWS bezpośrednio z VPC, bez przechodzenia przez publiczny internet. Spełnia to wymagania dotyczące prywatnego dostępu przez VPN i minimalizuje nakład pracy deweloperskiej, ponieważ nie wymaga zarządzania dodatkowymi instancjami ani złożonymi konfiguracjami sieciowymi. Pozostałe opcje są nieprawidłowe: Utworzenie hosta bastionu EC2 w publicznej podsieci wprowadza punkt dostępu do publicznego internetu, co jest sprzeczne z wymaganiami firmy. Utworzenie hosta bastionu EC2 w prywatnej podsieci z NAT Gateway nadal wymaga zarządzania instancją bastionu i nie jest tak bezpośrednie ani bezpieczne jak PrivateLink, a NAT Gateway jest przeznaczony do wychodzącego ruchu internetowego, a nie prywatnego dostępu do usług AWS. Utworzenie NAT Gateway w VPC i dostęp do punktu końcowego HTTPS przez VPN za pośrednictwem NAT Gateway jest nieprawidłowe, ponieważ NAT Gateway służy do umożliwiania instancjom w prywatnej podsieci inicjowania połączeń z internetem, a nie do prywatnego dostępu do usług AWS z sieci lokalnej.