Uma empresa hospeda seu aplicativo em instâncias Amazon EC2 dentro de uma VPC e cria um bucket Amazon S3 dedicado para cada cliente. O aplicativo deve ser capaz de acessar com segurança apenas os buckets S3 que pertencem à conta AWS da empresa. Qual solução oferece isso com o MENOR overhead operacional?

A criação de um gateway endpoint para o Amazon S3 na VPC permite que as instâncias EC2 acessem o S3 de forma privada, sem passar pela internet, o que aumenta a segurança e reduz a latência. A política de perfil da instância do IAM com uma ação Deny e a condição aws:SourceVpc garante que o acesso ao S3 seja permitido apenas para buckets que pertencem à conta da empresa, bloqueando o acesso a buckets externos. Isso minimiza o overhead operacional, pois a configuração é feita uma vez no endpoint e na política do IAM. As outras opções são menos eficientes ou seguras: A primeira opção não especifica como restringir o acesso apenas aos buckets da empresa, tornando-a menos segura. Usar um NAT Gateway para acessar o S3 não é a melhor prática, pois o tráfego ainda sairia da VPC para a internet, aumentando a latência e o custo, além de não oferecer a mesma granularidade de controle de acesso que um gateway endpoint. A última opção, embora use um NAT Gateway, não é a solução mais eficiente para o controle de acesso e ainda exige a atualização de políticas de bucket individualmente, o que aumenta o overhead operacional.