Uma empresa de registros médicos executa um aplicativo em instâncias Amazon EC2 em sub-redes públicas que processa arquivos armazenados no Amazon S3. As instâncias EC2 acessam o Amazon S3 pela internet e não exigem nenhum outro acesso à rede. Um novo requisito exige que o tráfego de rede de transferência de arquivos use uma rota privada e não trafegue pela internet. Qual alteração na arquitetura de rede atende a esse requisito?

Mover as instâncias EC2 para sub-redes privadas e criar um VPC endpoint para o Amazon S3 garante que o tráfego entre as instâncias EC2 e o S3 permaneça dentro da rede AWS, sem passar pela internet pública. O VPC endpoint para S3 é um gateway que permite acesso privado ao S3 a partir da VPC. Um gateway NAT não resolve o problema, pois ele é usado para permitir que instâncias em sub-redes privadas acessem a internet, o que é o oposto do requisito de manter o tráfego privado. Configurar o grupo de segurança para restringir o tráfego de saída apenas para a lista de prefixos do S3 ainda permitiria que o tráfego passasse pela internet, apenas de forma mais controlada. Remover o internet gateway e usar o Direct Connect para o S3 é uma solução excessiva e cara, pois o Direct Connect é para conectar sua rede local à AWS, não para tráfego interno da VPC para serviços AWS.