Um provedor de SaaS de terceiros executa seu serviço dentro de uma VPC na AWS e expõe sua funcionalidade por meio de APIs. Sua empresa chamará essas APIs a partir de recursos dentro de sua VPC. A política da empresa exige conectividade privada que não atravesse a internet pública, e os recursos em sua VPC não devem ser acessíveis de fora de sua VPC. Todo acesso deve seguir o princípio do privilégio mínimo. Qual solução satisfaz essas restrições?

A solução correta é criar um endpoint de VPC de interface do AWS PrivateLink. O PrivateLink permite conectividade privada entre VPCs e serviços, sem expor o tráfego à internet pública, atendendo ao requisito de conectividade privada. Ao criar um endpoint de interface na sua VPC e conectá-lo ao serviço de endpoint do provedor SaaS, seus recursos podem acessar as APIs de forma segura. Anexar um security group ao endpoint de interface garante o princípio do privilégio mínimo, restringindo o acesso apenas aos clientes permitidos dentro da sua VPC. As outras opções são menos adequadas: Uma VPN Site-to-Site estabelece conectividade privada, mas é mais complexa para integração de serviços e não é a solução ideal para conectar-se a um serviço SaaS dentro da AWS. O emparelhamento de VPC conecta duas VPCs diretamente, mas expõe toda a VPC do provedor SaaS à sua VPC (e vice-versa), o que viola o princípio do privilégio mínimo e a restrição de que seus recursos não devem ser acessíveis de fora da sua VPC. Criar um serviço de endpoint na sua conta e pedir ao provedor para criar um endpoint para ele inverte o fluxo e não é a maneira padrão de consumir um serviço SaaS de terceiros via PrivateLink.