您建立了一個 VPC，其中包含適用於 SageMaker Service API 的 VPC 介面端點。您想要限制存取，讓只有特定的 EC2 執行個體和 IAM 使用者可以呼叫 SageMaker API。此 VPC 具有單一公有子網路。哪兩個動作將會保護端點的存取？(請選擇兩項)

正確答案是「連接一個 VPC 端點政策，限制哪些 IAM 使用者可以存取端點」和「透過調整端點網路介面上的安全群組來限制端點的存取」。VPC 端點政策允許您定義哪些 IAM 主體（使用者和角色）可以透過端點呼叫 SageMaker API，提供基於身份的存取控制。安全群組則作為虛擬防火牆，控制進出端點網路介面的流量，您可以配置其規則以只允許來自特定 EC2 執行個體（基於其安全群組或 IP 位址）的連線。單獨修改使用者的 IAM 政策不足以限制透過端點的存取，因為它不控制端點本身。網路 ACL 是無狀態的，且作用於子網路層級，不如安全群組對特定端點介面的控制精細。建立 SageMaker Runtime VPC 介面端點與限制 SageMaker Service API 的存取無關。