Uma aplicação executada on-premises e no EC2 acessa um bucket S3 pela internet pública. As instâncias EC2 se conectam ao ambiente on-prem por meio de uma VPN Site-to-Site. Novas regulamentações exigem que o tráfego entre os servidores da aplicação e o S3 permaneça privado e evite endereços IP públicos. Qual solução atende ao requisito de forma mais econômica?

A solução correta aborda os requisitos de conectividade privada para ambos os ambientes de forma otimizada. Um S3 gateway endpoint permite que as instâncias EC2 acessem o S3 de forma privada dentro da VPC, sem custos adicionais por hora ou por GB, utilizando rotas na tabela de rotas da VPC. Para o ambiente on-premises, um S3 interface endpoint (powered by AWS PrivateLink) é necessário para estabelecer uma conexão privada e roteável via VPN ou Direct Connect, utilizando endereços IP privados e um nome DNS específico. As outras opções são menos eficientes ou não atendem a todos os requisitos: Criar apenas um S3 gateway endpoint não resolve o acesso privado para o ambiente on-premises. Criar apenas um S3 interface endpoint para ambos os ambientes seria mais caro para o tráfego EC2-S3, pois interface endpoints têm custos por hora e por GB, enquanto gateway endpoints não. A opção de gateway endpoint com proxies e NLB para on-premises é excessivamente complexa e cara, adicionando latência e pontos de falha desnecessários.