Uma empresa usa funções AWS Lambda para automatizar a resposta a incidentes para instâncias Amazon EC2. As funções coletam artefatos (por exemplo, ID da instância e configuração do grupo de segurança) e escrevem um resumo em um bucket do Amazon S3. A VPC da empresa tem sub-redes públicas com um internet gateway e sub-redes privadas com um NAT gateway. Todo o tráfego do S3 relacionado à resposta a incidentes deve permanecer na rede AWS e não deve atravessar a internet pública. Qual solução atende a esses requisitos?

A opção correta garante que o tráfego para o Amazon S3 permaneça dentro da rede AWS, sem atravessar a internet pública. Ao implantar as funções Lambda em sub-redes privadas e usar um S3 gateway VPC endpoint, as funções podem acessar o S3 de forma privada e segura. O endpoint de gateway roteia o tráfego para o S3 diretamente da VPC, usando a rede backbone da AWS. A opção de direcionar o tráfego do S3 através do NAT gateway está incorreta porque o NAT gateway permite que instâncias em sub-redes privadas se conectem à internet, o que violaria o requisito de manter o tráfego S3 na rede AWS e fora da internet pública. Colocar o bucket S3 e as funções Lambda na mesma sub-rede privada e usar o endpoint público padrão do S3 também está incorreto, pois o endpoint público acessaria o S3 pela internet. A opção de usar uma fila SQS para entregar dados ao S3 não resolve o problema de acesso privado ao S3; o SQS ainda precisaria de um mecanismo para acessar o S3 de forma privada se o SQS estivesse na VPC.