Instancje notatników SageMaker w VPC używają punktów końcowych interfejsu, dzięki czemu ruch API pozostaje w sieci AWS, ale użytkownicy spoza VPC nadal mogą uzyskiwać dostęp do instancji notatników przez Internet. Jakie działania należy podjąć, aby uniemożliwić użytkownikom zewnętrznym dostęp do notatników, jednocześnie zezwalając na uzasadniony dostęp z VPC?

Poprawna odpowiedź to utworzenie polityki IAM, która ogranicza dostęp do sagemaker:CreatePresignedNotebookInstanceUrl i sagemaker:DescribeNotebookInstance tylko wtedy, gdy żądania pochodzą z punktów końcowych VPC. Instancje notatników SageMaker w VPC z punktami końcowymi interfejsu (AWS PrivateLink) kierują ruch API wewnątrz sieci AWS, ale domyślnie dostęp do interfejsu użytkownika notatnika (przez wstępnie podpisany URL) nadal może być inicjowany z Internetu. Ograniczenie tych akcji IAM do punktów końcowych VPC zapewnia, że tylko użytkownicy w VPC mogą generować URL-e dostępu i opisywać instancje, skutecznie blokując dostęp zewnętrzny. Modyfikacja grup zabezpieczeń (pierwsza opcja) kontroluje ruch sieciowy do interfejsów notatnika, ale nie zapobiega generowaniu wstępnie podpisanych URL-i z zewnątrz VPC. Dodanie bramy NAT i przekształcenie podsieci w prywatne (trzecia opcja) dotyczy wychodzącego ruchu notatnika, a nie kontroli dostępu do samego notatnika. Zmiana ACL sieci (czwarta opcja) jest zbyt ogólna i może zakłócić inne usługi, a także nie rozwiązuje problemu generowania wstępnie podpisanych URL-i.