Um data lake armazenado em um bucket S3 deve ser acessível a centenas de aplicações em várias contas AWS. A política exige que o bucket S3 não seja acessível pela internet pública, e cada aplicação deve ter acesso com privilégio mínimo. Um arquiteto de soluções planeja usar pontos de acesso S3 restritos a VPCs específicas para cada aplicação. Qual combinação de ações o arquiteto deve tomar para implementar isso? (Escolha duas.)

A primeira ação correta é criar um S3 Access Point (Ponto de Acesso S3) para cada aplicação na conta do bucket S3, configurando-o para permitir acesso apenas da VPC específica da aplicação e atualizando a política do bucket para exigir o uso de um ponto de acesso. Isso garante controle granular e restrição de acesso por VPC, atendendo ao requisito de privilégio mínimo e não exposição pública. A segunda ação correta é criar um Gateway Endpoint para Amazon S3 em cada VPC da aplicação, configurando sua política para permitir acesso ao S3 Access Point e especificando as tabelas de rotas. Isso permite que as aplicações acessem o S3 de forma privada e segura, sem passar pela internet pública. A opção de criar um endpoint de interface está incorreta porque endpoints de interface para S3 são usados para S3 Object Lambda e S3 Control, não para acesso direto a buckets S3. A opção de criar um ponto de acesso em cada conta AWS da aplicação está incorreta porque os S3 Access Points são criados na mesma conta do bucket S3. A opção de criar um gateway endpoint na VPC do data lake está incorreta porque o acesso precisa ser estabelecido a partir das VPCs das aplicações, não da VPC do data lake.