어제는 "누가 무엇을 할 수 있는가"의 권한이었다면, 오늘은 "트래픽이 어디로 흐르는가"의 네트워크다. 기본 설정의 SageMaker는 학습·추론 컨테이너가 AWS 관리 네트워크에서 돌고 인터넷으로 나갈 수 있다. 민감 데이터나 규제 환경에서는 이걸 막아야 한다. 오늘은 VPC 모드, 인터넷 차단, VPC 엔드포인트(PrivateLink), 보안 그룹 으로 SageMaker를 격리하는 방법을 정리한다.
기본적으로 SageMaker 학습 작업은 AWS가 관리하는 격리된 네트워크에서 실행되고, 필요하면 인터넷에 접근할 수 있다. 이건 편하지만 두 가지 문제가 있다 — ① 데이터가 인터넷 경로로 유출될 수 있다는 우려, ② 규제(금융·의료)에서 "모든 트래픽은 우리 VPC 안에서만"을 요구. 그래서 학습/추론 컨테이너를 고객 VPC의 서브넷에 붙이는 것 이 VPC 모드다.
[기본 모드]
학습 컨테이너 → AWS 관리 네트워크 → (인터넷 가능)
[VPC 모드]
학습 컨테이너 → 고객 VPC 서브넷(ENI) → 보안 그룹 → VPC 엔드포인트 → S3/SageMaker API
(인터넷 게이트웨이 없음)VPC 모드를 켜면 SageMaker가 지정한 서브넷에 ENI(탄력적 네트워크 인터페이스) 를 만들어 컨테이너를 VPC에 연결한다.