解説

AWS公式ドキュメントでは、`EnableNetworkIsolation=True`の動作を「トレーニングコンテナを分離する。分散トレーニングのためのトレーニングクラスタ内ピア間通信を除き、インバウンド・アウトバウンドともネットワーク呼び出し不可」と定義しています。PyTorch DDPはNCCLによるノード間ピア通信を使用しますが、これはクラスタ内ピア通信として明示的に許可されるため、`enable_network_isolation=True`でも分散トレーニングは正常に動作します。 選択肢Aが4要件を満たす理由： ①インターネット直接アクセス禁止：`enable_network_isolation=True`がコンテナAPIレベルでインターネット通信を明示的に遮断（最も確実な保証） ②ノード間通信の暗号化：`enable_inter_container_traffic_encryption=True`で達成 ③S3アクセスのAWSネットワーク内限定：VPC使用時はSageMakerがコンテナ外でS3転送を処理し、S3 VPCエンドポイント（ゲートウェイ型）によりトラフィックがAWSネットワーク内に留まる ④出力モデルのKMS暗号化：`output_kms_key_id`にCMKを指定 製薬会社のようにコンプライアンスが厳しい環境では、VPCルーティング設定のみに依存するのではなく、`enable_network_isolation=True`でコンテナAPIレベルでのインターネット遮断を明示的に保証することが、要件①を最も確実に満たします。