Uma empresa executa aplicações em instâncias Amazon EC2 em uma VPC. Uma aplicação deve chamar a API do Amazon S3 para armazenar e ler objetos. As regras de segurança da empresa proíbem que qualquer tráfego das aplicações atravesse a internet. Qual solução atende a esses requisitos?

A solução correta é configurar um S3 gateway endpoint. Um gateway endpoint para S3 permite que instâncias EC2 em uma VPC acessem o S3 de forma privada, sem a necessidade de um gateway de internet, NAT gateway ou VPN. Isso garante que o tráfego não saia da rede da AWS, atendendo ao requisito de segurança da empresa de proibir tráfego pela internet. Criar um bucket S3 em uma sub-rede privada não é possível, pois buckets S3 são recursos globais e não residem em sub-redes. Criar um bucket S3 na mesma região que as instâncias EC2 é uma boa prática para latência, mas não aborda o requisito de acesso privado. Configurar um NAT gateway permitiria o acesso à internet, o que vai contra a restrição de segurança da empresa.