Uma empresa tem 20 equipes de serviço, cada uma em sua própria conta AWS e cada VPC usando 192.168.0.0/22. Os serviços são executados em instâncias EC2 atrás de ALBs e atualmente se comunicam pela internet pública. A segurança agora exige que todo o tráfego entre serviços use HTTPS em rede privada, sem roteamento pela internet. A solução deve minimizar as mudanças exigidas por cada equipe. Qual abordagem atende a esses requisitos?

A opção correta é usar o AWS PrivateLink. Ele permite comunicação privada e segura entre serviços em diferentes VPCs e contas, sem expor o tráfego à internet pública. Ao criar um Network Load Balancer (NLB) em cada VPC de serviço e expô-lo via PrivateLink, cada equipe pode criar um endpoint de VPC em sua própria conta para acessar o serviço, usando nomes DNS privados. Isso minimiza as mudanças para as equipes, pois elas interagem com um endpoint local. As outras opções são menos adequadas: Compartilhar sub-redes via RAM e exigir que as equipes lancem novos NLBs e EC2s em sub-redes compartilhadas exigiria grandes mudanças na infraestrutura existente de cada equipe. O peering de VPC entre todas as 20 VPCs criaria uma malha de peering complexa e difícil de gerenciar (190 conexões), além de não resolver o problema de sobreposição de CIDR (192.168.0.0/22). Um Transit Gateway resolveria a complexidade de roteamento e sobreposição de CIDR, mas ainda exigiria que as equipes ajustassem suas rotas e não oferece a mesma simplicidade de consumo de serviço que o PrivateLink para comunicação entre serviços.