Uma empresa deve mover dados de uma instância Amazon EC2 para um bucket Amazon S3 sem rotear nenhuma chamada de API ou dados por rotas de internet pública. Somente a instância EC2 deve ter permissão para fazer upload de dados para o bucket S3. Qual solução atende a esses requisitos?

A criação de um endpoint de interface VPC para o Amazon S3 na sub-rede da instância EC2 garante que o tráfego para o S3 permaneça na rede privada da AWS, sem passar pela internet pública. Endpoints de interface são alimentados por AWS PrivateLink, fornecendo acesso privado a serviços AWS. A política de recurso no bucket S3 restringe o acesso apenas à função IAM da instância EC2, atendendo ao requisito de segurança. A opção de endpoint de gateway VPC é incorreta porque endpoints de gateway não suportam acesso de instâncias EC2 em outras VPCs ou de redes on-premises via VPN/Direct Connect, e não são a melhor escolha para controle de acesso granular baseado em IAM de uma instância específica. As opções que envolvem nslookup ou ip-ranges.json são incorretas porque o S3 é um serviço global com endereços IP públicos e dinâmicos. Tentar rotear para IPs específicos do S3 não é uma prática recomendada e não garante conectividade privada ou segura.