MLA-C02：AWS Certified Machine Learning Engineer - Associate ML・AI ワークフローのデプロイとオーケストレーション 問3
ML・AI ワークフローのデプロイとオーケストレーション／リソースのプロビジョニングと構成SageMaker AI の推論エンドポイントを呼び出す通信を、インターネットを経由せずプライベートに行いたいと考えています。呼び出し元の VPC から SageMaker Runtime への接続方法として最も適切なのはどれですか。
当サイトのオリジナル問題（MLA-C02：AWS Certified Machine Learning Engineer - Associateの出題範囲「ML・AI ワークフローのデプロイとオーケストレーション」に対応。実際の試験問題ではありません）
- Aエンドポイントをパブリックにし、インターネット経由で呼び出す
- BNAT ゲートウェイを設置し、インターネット経由で SageMaker Runtime に接続する
- C呼び出し元の VPC に SageMaker Runtime 向けのインターフェース型 VPC エンドポイント（AWS PrivateLink）を作成し、プライベートに接続する
- Dパブリックサブネットに踏み台サーバーを置き、そこから HTTPS で呼び出す
正解：C
解説
呼び出し元の VPC から SageMaker Runtime へプライベートに接続するには、その VPC に SageMaker Runtime 向けのインターフェース型 VPC エンドポイント（AWS PrivateLink）を作成します。これによりインターネットを経由せずに推論を呼び出せます。なお、これは『呼び出し元 → SageMaker Runtime』方向の通信をプライベート化するものです。モデルコンテナ側から顧客 VPC 内のリソース（データベース等）へアクセスさせたい場合は、エンドポイントの VpcConfig で別途 VPC 接続を構成する必要があり、両者は別の設定です。また、通信経路をプライベート化しても認証・認可は別途必要で、IAM による呼び出し権限の制御は引き続き行います。パブリック化・NAT 経由・踏み台サーバーはいずれもインターネットを経由するため、プライベート接続の要件に合いません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。エンドポイントのパブリック化は、プライベート接続の要件に反します。
- B誤り。NAT ゲートウェイ経由はインターネットを経由するため、プライベート接続になりません。
- C正しい。呼び出し元 VPC に SageMaker Runtime 向けのインターフェース型 VPC エンドポイント（PrivateLink）を作成すれば、インターネットを経由せずプライベートに呼び出せます。モデル側から VPC リソースへ接続する VpcConfig とは別の設定です。
- D誤り。踏み台サーバーからの HTTPS 呼び出しは通常インターネットを経由し、プライベート接続の要件を満たしません。