金融科技新創公司 DataCoral 使用自訂 Docker 容器在 SageMaker 上執行敏感模型訓練，這些容器絕不能存取公共網際網路。其安全政策要求阻擋所有來自訓練容器的對外網際網路流量，同時仍允許透過 VPC 端點存取 S3 訓練資料。啟動 SageMaker 訓練任務時，哪種組態變更可以滿足此要求？

正確答案透過啟用 EnableNetworkIsolation 將訓練容器與公用網際網路完全隔離，這是 SageMaker 確保敏感模型訓練安全的關鍵功能。同時，設定 S3 VPC 閘道端點 (com.amazonaws.<region.s3) 允許訓練任務透過 AWS 私有網路安全地存取 S3 訓練資料，而無需經過公用網際網路。確保執行角色具備必要的 S3 和 VPC 端點權限，是此組態能正常運作的先決條件。 其他選項不符合安全要求： 僅依賴私有子網路而不使用 NAT 閘道，並不能保證 SageMaker 訓練容器會自動與網際網路隔離，因為 SageMaker 服務本身可能仍會建立必要的連線。 啟用 NAT Gateway 會允許網際網路存取，這與「阻擋所有來自訓練容器的對外網際網路流量」的安全政策相悖。 設定公有子網路並連接網際網路閘道，即使安全群組拒絕對外流量，也存在潛在的安全風險，因為它未能完全隔離容器，且安全群組的規則可能被繞過或配置錯誤。