Um aplicativo web on-premises com um banco de dados PostgreSQL deve fazer upload de dados diários não sensíveis para o Amazon S3 para o retreinamento de modelos. Dados sensíveis nunca devem sair do data center e todo o tráfego para a nuvem deve usar IPsec. Como você deve transferir com segurança apenas dados não sensíveis para o S3 todos os dias?

A opção correta é criar um job do AWS Glue que se conecta ao PostgreSQL e ingere apenas as tabelas sem dados sensíveis por meio de uma conexão AWS Site-to-Site VPN para o Amazon S3. Esta abordagem atende a todos os requisitos: o AWS Glue pode se conectar a bancos de dados on-premises, permite a seleção granular de dados (apenas tabelas não sensíveis), e a AWS Site-to-Site VPN garante que todo o tráfego para a nuvem use IPsec, conforme exigido. A opção de mascarar campos sensíveis com PySpark no AWS Glue é incorreta porque os dados sensíveis sairiam do data center antes de serem mascarados, o que viola a restrição de que dados sensíveis nunca devem sair do data center. Usar o AWS DMS via SSL diretamente para o Amazon S3 é incorreto porque o requisito é que todo o tráfego para a nuvem use IPsec, e o SSL não é equivalente ao IPsec para este cenário. Replicar todo o banco de dados para o EC2 e depois usar o Glue é ineficiente e adiciona complexidade desnecessária. Além disso, a replicação inicial de todo o banco de dados pode incluir dados sensíveis, violando a restrição.