無限ノック › MLA 練習問題一覧 › 問題MLA MLソリューションの監視、メンテナンス、セキュリティ
製薬会社のMLチームがSageMaker Training Jobを使って機密性の高い分子構造データでモデルをトレーニングしています。情報セキュリティポリシーにより「トレーニングコンテナはインターネット・VPC内の他リソース・外部AWSサービスへ一切アウトバウンド接続できないこと」が必須要件です。S3からの学習データ取得とモデルアーティファクト保存は通常通り行える前提で、この要件を最もシンプルに満たす設定はどれですか？
A Training Jobの設定でEnableNetworkIsolationをtrueに設定し、コンテナを完全にネットワークから切り離す（入出力はジョブ前後にS3と同期される）
✓ 正解
EnableNetworkIsolationはSageMakerのネイティブ機能として提供される1パラメータ設定でコンテナのネットワーク完全分離を実現する。入出力データはS3との間でジョブ前後に同期されるため、学習データ取得とアーティファクト保存の要件も維持できる最適な選択肢。
B VPC内のプライベートサブネットにTraining Jobを配置し、セキュリティグループのアウトバウンドルールですべてのポートへの接続を拒否するルールを追加する
セキュリティグループのアウトバウンドDenyルールはトラフィック制御に有効だが、VPC配置設定・サブネット設計・ルール管理が別途必要で複雑になる。EnableNetworkIsolationの方がシンプルかつ確実にネットワーク分離を保証する。
C IAMロールのインラインポリシーにDenyアクションを追加してトレーニングジョブからのec2:CreateNetworkInterfaceなどのネットワーク操作を禁止する
IAMポリシーでのネットワーク操作Denyは権限制御の仕組みであり、コンテナ内プロセスからのTCP/UDP通信を直接ブロックするネットワークレベルの分離にはならない。コンテナがAPIを使わずソケット通信を試みた場合は遮断できない。
D AWS Network Firewallをトレーニングジョブのサブネットに配置し、すべての送信トラフィックをブロックするステートフルルールグループを設定する
AWS Network Firewallは高機能なトラフィック制御を提供するが、VPC配置・ファイアウォールポリシー・ルートテーブル設定など追加の構成作業が必要で、EnableNetworkIsolationと比べて運用コストが大幅に増大する。
解説 SageMaker Training JobのEnableNetworkIsolationをtrueに設定すると、トレーニングコンテナはインターネット・VPC内の他リソース・外部AWSサービスへのアウトバウンド通信が完全に遮断される。入力データはジョブ開始前にS3からコンテナ内部にコピーされ、モデルアーティファクトはジョブ完了後にS3へ書き出される仕組みのため、S3との連携を維持しつつネットワーク分離を実現できる。Training Job・Processing Job・Inference Endpointのいずれでも利用可能で、1つのパラメータ設定で確実にコンテナの完全分離を達成できる最もシンプルな方法。
選択肢BのVPCセキュリティグループによるアウトバウンド拒否は有効なアプローチだが、VPC配置設定・ルール管理が複雑で誤設定リスクがあり、EnableNetworkIsolationほど確実・シンプルではない。
選択肢CのIAMポリシーによるネットワーク操作のDenyはIAM権限の制御であり、コンテナ内からのTCP/UDP通信を直接ブロックするネットワークレベルの分離にはならない。
選択肢DのAWS Network Firewallは専用ファイアウォールリソースのプロビジョニングと追加設定が必要で、EnableNetworkIsolationより運用負荷が大幅に高い。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでMLAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →