金融サービス企業のセキュリティ監査で、以下の通信がパブリックインターネットを経由していることが指摘されました。 ・SageMaker Training JobおよびリアルタイムエンドポイントからAmazon S3へのデータ転送 ・SageMaker APIへの呼び出し すべての通信をAWSのプライベートネットワーク内に限定するための最小構成として正しい組み合わせはどれですか。
AWSのプライベートネットワーク内でSageMakerからS3・SageMaker APIへの通信を完結させるにはVPCエンドポイントが必要です。S3へのプライベートアクセスにはゲートウェイ型VPCエンドポイント（追加料金なし）をVPCルートテーブルに設定します。SageMaker API（Training・Endpoint作成など）へのプライベートアクセスにはインターフェイス型VPCエンドポイント（AWS PrivateLink）が必要です。セキュリティグループのアウトバウンドルールでインターネット向け（0.0.0.0/0）を明示的に拒否することで、すべての要件を最小の追加コストで満たせます。 選択肢AのNATゲートウェイはVPC内からパブリックインターネットへの通信を可能にするサービスであり、インターネット経由の通信を禁止するこの要件に反する。プライベート通信を実現するVPCエンドポイントとは目的が正反対。 選択肢BのEnableNetworkIsolationはTraining Jobコンテナの外部通信を遮断するモードだが、S3からの入力データステージング（/opt/ml/inputへのダウンロード）・成果物のアップロードはSageMakerプラットフォームがコンテナ外で実行するためトレーニングデータ自体にはアクセス可能。VPCエンドポイントなしではSageMakerプラットフォームのS3・API通信が依然パブリックインターネットを経由するため、プライベートネットワーク限定の要件を満たさない。 選択肢DのAWS Direct ConnectはオンプレミスとAWS間の専用回線であり、VPC内のSageMakerからS3やSageMaker APIへのプライベートアクセスを実現するVPCエンドポイントの代替にはならない。コストも非常に高い。