Uma aplicação é executada em instâncias Amazon EC2 em sub-redes privadas e precisa acessar uma tabela do Amazon DynamoDB. Qual é a maneira MAIS segura de acessar a tabela, garantindo que o tráfego não saia da rede da AWS?

A maneira mais segura de acessar o Amazon DynamoDB de instâncias EC2 em sub-redes privadas, sem que o tráfego saia da rede da AWS, é usando um VPC endpoint para DynamoDB. Este tipo de endpoint (gateway endpoint) permite que o tráfego para o DynamoDB seja roteado através da rede interna da AWS, sem a necessidade de um gateway de internet, NAT gateway ou instâncias NAT. Usar um NAT gateway em uma sub-rede pública ou uma instância NAT em uma sub-rede privada permitiria o acesso, mas o tráfego sairia da rede privada da VPC para a internet pública (no caso do NAT gateway, para acessar o endpoint público do DynamoDB), o que é menos seguro e não atende ao requisito de manter o tráfego dentro da rede da AWS. O internet gateway anexado à VPC é usado para permitir a comunicação entre a VPC e a internet, o que também faria com que o tráfego saísse da rede interna da AWS.