Współdzielone notatniki Amazon SageMaker Studio są dostępne tylko przez VPN. Firma musi wymusić kontrolę dostępu, aby uniemożliwić atakującym używanie wstępnie podpisanych adresów URL do uzyskiwania dostępu do notatników. Jaka konfiguracja spełnia ten wymóg?

Poprawna odpowiedź to wymuszenie walidacji adresu IP klienta Studio za pomocą warunku polityki IAM aws:sourceIp. Ten warunek pozwala na ograniczenie dostępu do zasobów AWS tylko z określonych adresów IP lub zakresów IP. W przypadku współdzielonych notatników Amazon SageMaker Studio, skonfigurowanie polityki IAM z aws:sourceIp i podanie adresu IP VPN firmy (lub zakresu adresów) zapewni, że dostęp do notatników będzie możliwy tylko z sieci VPN. To skutecznie uniemożliwi atakującym używanie wstępnie podpisanych adresów URL spoza zaufanej sieci. Pozostałe opcje są nieprawidłowe: aws:sourceVpc jest używane do ograniczania dostępu do zasobów z określonych VPC, co nie jest bezpośrednio związane z dostępem przez VPN do notatników Studio. aws:PrimaryTag i aws:PrincipalTag są używane do kontroli dostępu na podstawie tagów przypisanych do zasobów lub podmiotów (użytkowników/ról), a nie do walidacji adresu IP klienta.