Um endpoint de gateway S3 é configurado em uma VPC cujas sub-redes privadas não têm acesso de saída à internet. Um usuário em uma instância EC2 em uma dessas sub-redes privadas não consegue fazer um PUT de um arquivo em um bucket S3 na mesma Região. Qual alteração resolverá a falha de upload?

A resposta correta é adicionar as rotas da prefix-list do S3 à tabela de rotas da sub-rede e direcioná-las para o endpoint de gateway S3. Embora o endpoint de gateway S3 esteja configurado, as instâncias na sub-rede privada precisam de uma rota explícita para o S3 através desse endpoint. A prefix-list do S3 contém os blocos CIDR públicos do S3, e a rota direciona o tráfego para o endpoint de gateway, permitindo a comunicação. Adicionar permissões s3:PutObject à política de função do IAM é necessário para autorização, mas não resolve o problema de conectividade de rede. Modificar o grupo de segurança para permitir tráfego de saída na porta 80 não é relevante, pois o S3 usa HTTPS (porta 443) e o acesso é via endpoint de gateway, não pela internet pública. Alterar a política do bucket S3 para permitir solicitações do bloco CIDR da sub-rede privada também não resolve a conectividade subjacente, apenas a autorização do bucket.