Ваша команда специалистов по данным использует управляемые экземпляры ноутбуков для доступа к данным в защищенном объектном хранилище. Политика безопасности требует, чтобы все ноутбуки работали в частной корпоративной сети без доступа к Интернету, а весь трафик к хранилищу и управляемым службам машинного обучения оставался в сети облачного провайдера. Как следует настроить экземпляры ноутбуков для удовлетворения этих требований?

Правильный ответ — разместить ноутбуки в частной подсети внутри корпоративной VPC и настроить конечные точки интерфейса VPC (VPC interface endpoints) для объектного хранилища и управляемой службы ML. Это решение гарантирует, что весь трафик к этим службам будет проходить через частную сеть AWS, не выходя в Интернет, что соответствует требованиям безопасности. Размещение управляемых конечных точек ML и объектного хранилища внутри той же VPC (первый вариант) не является корректным, так как эти службы являются управляемыми и не размещаются напрямую в VPC пользователя. Использование только политик IAM (второй вариант) контролирует разрешения, но не маршрутизацию сетевого трафика. Предоставление VPC NAT gateway (четвертый вариант) позволяет ноутбукам получать доступ к службам через Интернет, что противоречит требованию отсутствия доступа в Интернет.