Amazon web services 如何限制EC2实例的传出网络访问？

我将把一些ML任务外包出去。我希望承包商所做的所有工作都是在我“拥有”的机器上进行的，而不需要我给他们买一台物理机器，因此我相信我希望生成一个EC2实例（可能是一台预加载的DL机器）。我计划将我希望他们用于培训（存储在EBS卷中）的数据装载到此实例

我希望承包商能够使用来自EBS的数据在此实例上构建/训练模型，并将代码/模型文件保存到EBS，以便我可以本地下载文件并在我的机器上运行模型

我不希望承包商能够将数据或任何模型文件下载到本地机器上

这些有助于描述不同的IAM访问权限，但我真的很困惑如何将我的特定需求翻译成他们的语言。我认为他们需要EC2和EBS的读写访问权限，但我如何确保我有从EBS本地下载的能力，但他们没有

---

我走的是正确的道路，还是有其他更有效的方法？我对AWS生态系统非常陌生。谢谢。

如果他们有权登录EC2实例，那么就没有办法阻止他们从EC2实例下载内容。@MarkB我不知道你为什么这么说。如果不允许出站流量，那么他们将如何将文件传输到任何地方？@KeyanP您不能在允许登录系统所需的端口上禁止出站流量。因此，他们可以始终在该端口上从服务器传输数据。例如，如果他们是通过SSH登录的，那么他们可以通过SSH从系统传输文件。如果他们是通过RDP登录的，那么他们可以通过RDP从系统中传输文件。如果你试图阻止出站网络流量，那么你将破坏登录系统的能力。是的，我明白你的意思，我确信！感谢您详细介绍Mark。这可能很合适：如果他们有权登录EC2实例，那么就没有办法阻止他们从EC2实例下载内容。@MarkB我不知道您为什么这么说。如果不允许出站流量，那么他们将如何将文件传输到任何地方？@KeyanP您不能在允许登录系统所需的端口上禁止出站流量。因此，他们可以始终在该端口上从服务器传输数据。例如，如果他们是通过SSH登录的，那么他们可以通过SSH从系统传输文件。如果他们是通过RDP登录的，那么他们可以通过RDP从系统中传输文件。如果你试图阻止出站网络流量，那么你将破坏登录系统的能力。是的，我明白你的意思，我确信！感谢您详细介绍Mark。这可能适合：