amazon-web-services - 如何限制来自 EC2 实例的传出网络访问？

我正在外包一些 ML 任务。我希望承包商所做的所有工作都在我“拥有”的机器上，而不需要我给他们购买物理机器，所以我相信我想生成一个 EC2 实例（可能是预加载的 DL 机器）。我计划将我希望他们用于训练的数据（存储在 EBS 卷中）安装到此实例。

我希望承包商能够使用来自 EBS 的数据在此实例上构建/训练模型，并将代码/模型文件保存到 EBS，以便我可以在本地下载文件并在我的机器上运行模型。

我不希望承包商能够将数据或任何模型文件下载到他们的本地机器上。

这些文档有助于描述不同的 IAM 访问权限，但我真的很困惑如何将我的特定需求翻译成他们的语言。我认为他们需要对 EC2 和 EBS 的读写访问权限，但我如何确定我有能力从 EBS 本地下载但他们没有？

我是在正确的轨道上，还是有更有效的不同方法？我对 AWS 生态系统非常陌生。谢谢你。

标签： amazon-web-servicesamazon-s3amazon-ec2amazon-ebs