Компания размещает инфраструктуру ML в AWS, и команда в офисе подключается через IPsec VPN к VPC. В VPC включены параметры enableDnsHostnames и enableDnsSupport, а DNS-резолверы офиса указывают на DNS VPC. Компания запрещает доступ к ноутбукам SageMaker через общедоступный интернет; весь доступ должен оставаться приватным через VPN и внутри сети AWS. Какое решение соответствует этим требованиям с наименьшими затратами на разработку?

Создание конечной точки интерфейса VPC (AWS PrivateLink) для SageMaker Notebooks позволяет приватно подключаться к сервису из вашей VPC, используя частные IP-адреса. Это соответствует требованию о запрете доступа через публичный интернет, направляя весь трафик через VPN и VPC. Это решение минимизирует затраты на разработку, поскольку не требует развертывания и управления дополнительными EC2-инстансами или сложной сетевой конфигурации. Остальные варианты менее оптимальны: Хост-бастион EC2 в публичной подсети подвергает бастион публичному интернету, что нарушает требование безопасности. Хост-бастион EC2 в частной подсети с NAT gateway добавляет сложность и затраты на управление бастионом и NAT gateway, при этом NAT gateway не требуется для доступа к SageMaker через PrivateLink. Доступ через NAT gateway к HTTPS-конечной точке SageMaker Notebooks не обеспечивает полностью приватный доступ, так как трафик все равно проходит через публичные конечные точки SageMaker, а NAT gateway используется для исходящего трафика в интернет, а не для приватного доступа к сервисам AWS.