Um serviço de processamento de imagens é executado em uma VPC em duas Zonas de Disponibilidade. Cada AZ tem uma sub-rede pública e uma privada. As instâncias EC2 são executadas nas sub-redes privadas e são precedidas por um ALB nas sub-redes públicas. O serviço precisa de acesso à internet e usa dois gateways NAT. As imagens são armazenadas no Amazon S3 e as instâncias EC2 recuperam aproximadamente 1 TB de dados do bucket S3 todos os dias. A empresa enfatiza uma postura de alta segurança. O arquiteto de soluções deve minimizar os custos sem enfraquecer a segurança ou aumentar a sobrecarga operacional. Qual solução atende aos requisitos?

A criação de um endpoint de gateway S3 na VPC permite que as instâncias EC2 acessem o S3 de forma privada, sem passar pela internet ou pelos gateways NAT. Isso reduz os custos de transferência de dados (pois o tráfego S3 via endpoint de gateway é gratuito) e melhora a segurança, mantendo o tráfego dentro da rede AWS. A política de endpoint garante que apenas as ações necessárias sejam permitidas, mantendo a alta segurança. Substituir gateways NAT por instâncias NAT aumentaria a sobrecarga operacional e não eliminaria o custo de transferência de dados para o S3. Mover instâncias EC2 para sub-redes públicas comprometeria a segurança. Usar Amazon EFS para armazenar imagens não é ideal para 1 TB de dados diários, pois o S3 é mais escalável e econômico para armazenamento de objetos.