Uma empresa configurou um gateway VPC endpoint para Amazon S3 em uma VPC. Apenas uma sub-rede na VPC usa o endpoint, roteando o tráfego do S3 através dele. A VPC também possui um internet gateway. A partir de uma instância Amazon EC2 nessa sub-rede, um engenheiro de segurança tenta usar as credenciais do perfil da instância para recuperar um objeto de um bucket S3, mas a solicitação falha. As permissões do perfil da instância, a política do bucket S3, o security group e as ACLs de rede foram todos verificados como corretos. O que mais o engenheiro de segurança deve verificar para determinar por que a solicitação está falhando?

A política do VPC endpoint controla quais identidades e recursos podem acessar o serviço S3 através do endpoint. Mesmo que as permissões do perfil da instância, a política do bucket e as configurações de rede (security groups e ACLs de rede) estejam corretas, se a política do VPC endpoint não permitir o acesso ao S3, a solicitação falhará. As outras opções estão incorretas porque: O security group da instância EC2 não teria uma regra de negação implícita para o S3; ele controla o tráfego para a instância. O security group do VPC endpoint não controla o tráfego de entrada da instância EC2; ele controla o tráfego para o endpoint em si. O internet gateway não é relevante quando se usa um VPC endpoint para S3, pois o tráfego para o S3 é roteado internamente na AWS, não pela internet pública.