Домен SageMaker работает в публичной подсети, и сеть настроена правильно, но теперь наблюдается подозрительный трафик, исходящий с определенного IP-адреса. Компании необходимо заблокировать этому IP-адресу доступ к домену. Какое изменение сетевой конфигурации позволит это сделать?

Правильный ответ — создание правила для входящего трафика в сетевом ACL, которое запрещает указанный IP-адрес, и связывание этого ACL с подсетью. Сетевые ACL (NACL) работают на уровне подсети и являются безстатусными, что позволяет явно запрещать трафик с определенных IP-адресов. Это идеальное решение для блокировки подозрительного трафика на уровне подсети до того, как он достигнет домена SageMaker. Добавление правила для входящего трафика в группу безопасности, которое запрещает трафик, неэффективно, так как группы безопасности являются статусными и разрешают весь исходящий трафик по умолчанию, а также не имеют явных правил запрета для входящего трафика. Создание теневого варианта для домена и использование SageMaker Inference Recommender не предназначено для блокировки трафика, а для тестирования моделей. Создание записи в таблице маршрутизации VPC также не является механизмом для блокировки трафика на основе IP-адреса; таблицы маршрутизации определяют, куда направляется трафик, а не блокируют его.