AIF / ドメイン5 AIソリューションのセキュリティ、コンプライアンス、ガバナンス
VPCとAWS PrivateLink
AIサービスへの通信をインターネットへ出さない構成は、機密データを扱う要件で求められます。 AIF-C01では、その手段としてとが問われます。
概要
は、AWS内に作る私設のネットワークです。 は、そのVPCからAWSのサービスへ、インターネットを経由せずに接続する仕組みです。
⚠️ 頻出: 「AIサービスへの通信を公開インターネットへ出したくない」という要件はAWS PrivateLink (インターフェイスVPC) です。
主要技術
①エンドポイントの種類
| 種類 | 対象 | 内容 |
|---|---|---|
| インターフェイス | 、、多くのサービス | VPC内にプライベートの接続口を作ります () 。 |
| ゲートウェイVPCエンドポイント | 、 | 経由で接続します。 |
②AIワークロードでの使いどころ
| 場面 | 内容 |
|---|---|
| の呼び出し | への通信を内から行います。 |
| 学習ジョブ | の実行環境をVPC内に配置します。 |
| データの読み書き | へのアクセスをVPC経由にします。 |
| 社内システムとの接続 | との接続と組み合わせます。 |
③あわせて使う制御
| 手段 | 内容 |
|---|---|
| への通信を許可する範囲を絞ります。 | |
| エンドポイントポリシー | エンドポイント経由で許可する操作を制限します。 |
| の条件 | 特定のエンドポイントからの呼び出しに限定します (条件キー aws:SourceVpce で、それ以外の経路からの呼び出しを拒否します)。 |
| ネットワーク分離 | 学習環境をインターネットから切り離します。のネットワーク分離を有効にすると、学習やのは外部へ一切通信できなくなり、のデータの読み書きはSageMaker AIが実行ロールで代わりに行います。 |
⚠️ 頻出: ネットワークの経路を絞るだけでなく、IAMの条件と組み合わせることで「この経路以外からは使えない」構成にできます。
試験対策
①選択基準
| 問題文のキーワード | 選ぶもの |
|---|---|
| 通信をインターネットへ出したくない | (インターフェイス) |
| への通信をVPC内で完結させたい | ゲートウェイVPCエンドポイント |
| 学習環境を外部から隔離したい | VPC内での実行とネットワーク分離 |
| 特定の経路からのみ許可したい | の条件とエンドポイントポリシー |
②よくある誤答
- 暗号化していればネットワーク分離は不要と考えること。要件として経路の分離を求められる場合があります。
- を接続と同じものと考えること。AWSサービスへの私設接続の仕組みです。