Uma empresa armazena dados de IoT em um data lake no Amazon S3. Cientistas de dados executam análises em instâncias EC2 em sub-redes públicas de uma VPC em uma conta AWS diferente; essas instâncias EC2 já possuem uma função IAM que permite acesso ao S3. A política da empresa exige que apenas redes autorizadas possam acessar os dados de IoT. Qual combinação de etapas um arquiteto de soluções deve implementar para atender a esses requisitos? (Escolha duas.)

Para atender aos requisitos de segurança e acesso restrito, a criação de um S3 Access Point é essencial. O Access Point permite definir políticas de acesso específicas para um conjunto de dados, isolando o acesso aos dados de IoT. Ao criar o Access Point na conta dos cientistas de dados, ele pode ser configurado para apontar para o data lake no S3. A política de bucket do S3 deve ser atualizada para permitir s3:GetObject somente quando a solicitação vier através de um Access Point válido (usando a chave de condição s3:DataAccessPointArn). Isso garante que o acesso direto ao bucket seja negado, forçando todas as solicitações a passar pelo Access Point, que pode ter suas próprias políticas de rede e acesso. A criação de um endpoint de VPC de gateway para o S3 é uma boa prática para acesso privado, mas não aborda a restrição de "apenas redes autorizadas" no nível do objeto S3, que é o foco principal aqui. A modificação da tabela de rotas da VPC para um Access Point não é a forma correta de rotear o tráfego S3. A atualização da função da instância EC2 com a condição s3:DataAccessPointArn seria redundante se a política de bucket já impõe essa restrição, e a política de bucket é o local mais eficaz para aplicar essa regra de acesso.