解説

インターネット完全遮断を実現するには、VPCのプライベートサブネットでSageMakerジョブを実行し、EnableNetworkIsolation=trueを設定してトレーニングコンテナのすべての送受信ネットワークトラフィックを遮断します。S3へのデータアクセスはゲートウェイ型VPCエンドポイント（追加料金なし）を使用し、AWSバックボーンネットワーク経由でプライベートに行います。 選択肢AはNAT Gatewayを経由するため、インターネットへの経路が残り要件を満たしません。 選択肢CはIAMポリシーとバケットポリシーによるIPアドレス制限のみではコンテナからのインターネットアクセスは遮断できません。 選択肢DはSageMaker APIへのPrivateLinkを作成してもトレーニングコンテナのネットワーク分離は自動的には実現されず、EnableNetworkIsolationの設定が別途必要です。