Экземпляры блокнотов SageMaker в VPC используют интерфейсные конечные точки, чтобы трафик API оставался в сети AWS, но пользователи за пределами VPC по-прежнему могут получать доступ к экземплярам блокнотов через Интернет. Какие действия следует предпринять, чтобы предотвратить доступ внешних пользователей к блокнотам, разрешая при этом легитимный доступ из VPC?

Правильный ответ заключается в создании политики IAM, которая разрешает действия sagemaker:CreatePresignedNotebookInstanceUrl и sagemaker:DescribeNotebookInstance только при условии, что запросы исходят из конечных точек VPC. Это позволяет контролировать доступ на уровне API, гарантируя, что только авторизованные пользователи внутри VPC могут генерировать URL-адреса для доступа к блокнотам. Изменение групп безопасности экземпляров блокнотов только для разрешения трафика из диапазонов CIDR VPC не предотвратит доступ к блокнотам через предварительно подписанные URL-адреса, которые генерируются API. Добавление NAT gateway и преобразование подсетей в частные не решает проблему доступа к API извне VPC. Изменение сетевого ACL подсети для блокировки трафика извне VPC также не предотвратит доступ через предварительно подписанные URL-адреса, так как они могут быть сгенерированы извне, а затем использованы для доступа к блокноту.