Uma empresa executa um aplicativo em uma sub-rede privada atrás de um Application Load Balancer (ALB) em uma VPC. A VPC possui um NAT gateway e um internet gateway. O aplicativo chama a API do Amazon S3 para armazenar objetos. A política de segurança exige que o tráfego do aplicativo não atravesse a internet. Qual solução atende a esses requisitos da forma MAIS econômica?

A opção correta é configurar um S3 gateway endpoint e atualizar a tabela de rotas da VPC. Um S3 gateway endpoint permite que instâncias em uma VPC acessem o Amazon S3 de forma privada, sem a necessidade de um NAT gateway ou internet gateway, e sem que o tráfego saia da rede da AWS. Isso atende ao requisito de segurança de não atravessar a internet e é a solução mais econômica, pois não incorre em custos de processamento de dados do NAT gateway para o tráfego S3. Configurar um S3 interface endpoint (opção incorreta) também forneceria acesso privado, mas é mais caro que um gateway endpoint, pois cobra por hora e por GB de dados processados. Configurar uma S3 bucket policy para o Elastic IP do NAT gateway (opção incorreta) não impede que o tráfego passe pelo NAT gateway e pela internet (mesmo que indiretamente), o que viola o requisito de segurança e gera custos de NAT. Criar um segundo NAT gateway (opção incorreta) não resolve o problema de segurança de evitar a internet para o S3 e aumentaria os custos.