Twój zespół analityków danych używa zarządzanych instancji notebooków do uzyskiwania dostępu do danych w zabezpieczonej pamięci obiektowej. Polityka bezpieczeństwa wymaga, aby wszystkie notebooki działały w prywatnej sieci korporacyjnej bez dostępu do Internetu, a cały ruch do pamięci masowej i zarządzanych usług ML musiał pozostawać w sieci dostawcy chmury. Jak należy skonfigurować instancje notebooków, aby spełnić te wymagania?

Aby spełnić wymagania bezpieczeństwa, należy umieścić instancje notebooków w prywatnej podsieci w korporacyjnej VPC. Następnie, aby umożliwić dostęp do pamięci obiektowej (np. Amazon S3) i zarządzanych usług ML (np. Amazon SageMaker API) bez wychodzenia do Internetu i z zachowaniem ruchu w sieci dostawcy chmury, należy skonfigurować VPC interface endpoints (prywatne punkty końcowe). Te punkty końcowe zapewniają prywatną łączność z usługami AWS z poziomu VPC, wykorzystując AWS PrivateLink. Pozostałe opcje są nieprawidłowe: Hostowanie zarządzanych punktów końcowych ML i pamięci obiektowej w tej samej VPC nie jest możliwe, ponieważ są to usługi zarządzane przez AWS. Poleganie wyłącznie na politykach IAM nie zapewnia prywatnej łączności i nie zapobiega ruchowi przez Internet. Brama NAT z regułami grup bezpieczeństwa nadal wymagałaby dostępu do Internetu, co jest sprzeczne z wymaganiami.