Uma aplicação será executada em instâncias Amazon EC2 em sub-redes privadas em várias Zonas de Disponibilidade em uma VPC. As instâncias EC2 acessam frequentemente arquivos grandes e confidenciais armazenados em buckets do Amazon S3 para processamento. O arquiteto de soluções deve minimizar os custos de transferência de dados. O que o arquiteto deve fazer?

A opção correta é criar um gateway endpoint para o Amazon S3 na VPC e adicionar uma entrada para ele nas tabelas de rotas das sub-redes privadas. Um gateway endpoint para S3 permite que as instâncias EC2 em sub-redes privadas acessem o S3 diretamente, sem passar pela internet ou por um NAT Gateway. Isso elimina custos de transferência de dados associados ao NAT Gateway e à saída de dados da VPC, além de melhorar a segurança. As outras opções estão incorretas porque: Criar um único NAT Gateway ou um NAT Gateway por Zona de Disponibilidade incorre em custos de processamento e transferência de dados, o que vai contra o objetivo de minimizar custos. Criar um endpoint de interface AWS PrivateLink para o S3 também permite acesso privado, mas é mais caro que um gateway endpoint para S3, que é gratuito e projetado especificamente para este serviço.