某公司在一個新建 VPC 的公有子網路中執行 Amazon SageMaker AI 網域。網路已設定完成，工程師可以存取該網域。該公司發現來自特定 IP 位址的可疑流量，需要封鎖該 IP。哪種網路組態變更可以達成此目的？

正確答案是建立一個網路 ACL 傳入規則，拒絕來自特定 IP 位址的流量，並將該規則套用至網域所在子網路的預設網路 ACL。網路 ACL (Network Access Control List) 是在子網路層級運作的無狀態防火牆，可以精確控制進出子網路的流量，包括拒絕特定 IP 位址的流量。將此規則套用至 SageMaker 網域所在的子網路，即可有效阻擋來自可疑 IP 的流量。 其他選項不正確的原因： 安全群組是在執行個體層級運作的狀態防火牆，雖然可以拒絕特定 IP 流量，但 SageMaker 網域本身不是一個可以直接附加安全群組的 EC2 執行個體。 建立影子變體和使用 SageMaker Inference Recommender 是用於模型部署和流量路由優化，與封鎖惡意 IP 流量無關。 VPC 路由表用於定義網路流量的路由路徑，無法直接用於拒絕特定 IP 位址的傳入流量。