As instâncias EC2 estão em uma sub-rede privada e devem acessar buckets S3 na mesma região. Nenhuma alteração é permitida nas instâncias ou no aplicativo, e as instâncias não devem ter acesso à internet. Qual abordagem satisfaz essas restrições?

A criação de um VPC endpoint de gateway para S3 na mesma região é a solução correta porque permite que as instâncias EC2 em uma sub-rede privada acessem o S3 sem precisar de acesso à internet, mantendo o tráfego dentro da rede AWS. A política de endpoint padrão garante que as instâncias possam se comunicar com o S3. Um S3 interface endpoint (interface VPC endpoint) não é o mais adequado para S3; endpoints de gateway são específicos para S3 e DynamoDB. Provisionar um NAT gateway daria acesso à internet às instâncias, o que viola a restrição. Implantar uma instância EC2 de proxy exigiria alterações na configuração das instâncias ou do aplicativo para rotear o tráfego, o que também viola as restrições.