Uma aplicação web de duas camadas será executada em uma nova VPC de região única com um internet gateway e quatro sub-redes (duas públicas com rotas IGW, duas privadas sem uma rota padrão). A aplicação é executada em instâncias EC2 atrás de um Application Load Balancer externo e não deve ser diretamente acessível pela internet. A aplicação usa um bucket S3 na mesma região para operações GET e PUT. Projete uma arquitetura de VPC que minimize os custos de transferência de dados, ao mesmo tempo em que atende a esses requisitos. Qual solução o engenheiro deve escolher?

A opção correta é implantar as instâncias EC2 nas sub-redes privadas e usar um S3 gateway endpoint. As instâncias EC2 devem estar em sub-redes privadas para não serem acessíveis diretamente pela internet, conforme o requisito. Um S3 gateway endpoint permite que as instâncias em sub-redes privadas acessem o S3 de forma privada e gratuita, sem custos de transferência de dados por um NAT Gateway, e sem sair da rede da AWS. As opções incorretas são: Implantar instâncias EC2 em sub-redes públicas as tornaria diretamente acessíveis pela internet, violando o requisito de segurança. Usar um NAT Gateway para acesso ao S3 geraria custos de transferência de dados e processamento, além de não ser a forma mais otimizada para acesso ao S3 dentro da mesma região. Um S3 interface endpoint (PrivateLink) também permitiria acesso privado, mas tem custos associados por hora e por GB de dados processados, tornando-o menos econômico que o gateway endpoint para acesso ao S3 na mesma região. Além disso, modificar a aplicação para usar um nome de host DNS específico do endpoint S3 é uma complexidade desnecessária quando o gateway endpoint pode ser usado.