DataCoral, финтех-стартап, выполняет обучение конфиденциальных моделей на SageMaker, используя кастомные контейнеры Docker, которые никогда не должны иметь доступ к публичному интернету. Их политика безопасности требует блокировки всего исходящего интернет-трафика из обучающих контейнеров, при этом разрешая доступ к обучающим данным S3 через VPC endpoints. Какое изменение конфигурации удовлетворит это требование при запуске обучающего задания SageMaker?

Установка EnableNetworkIsolation в true гарантирует, что контейнер обучения не будет иметь исходящего доступа к интернету, что соответствует требованию безопасности. Настройка S3 VPC gateway endpoint позволяет контейнеру безопасно получать доступ к данным S3 без прохождения через публичный интернет. Разрешения для роли выполнения необходимы для доступа к S3 и использования VPC endpoint. Остальные варианты не подходят: Опускание EnableNetworkIsolation не гарантирует полной изоляции, так как SageMaker может использовать свои собственные механизмы для доступа к интернету, даже из приватных подсетей. Включение NAT Gateway предоставит доступ к интернету, что противоречит требованию блокировки исходящего трафика. Группы безопасности могут быть сложны в управлении и не обеспечивают такой же строгой изоляции, как EnableNetworkIsolation. Использование публичной подсети с Internet Gateway, даже с ограничениями группы безопасности, все равно создает потенциальную точку доступа к интернету, что нарушает политику безопасности.