Uma equipe roteia dados comportamentais para a empresa. O design da VPC é Multi-AZ com sub-redes públicas e privadas, um internet gateway, e cada sub-rede pública contém um NAT gateway. As aplicações em sub-redes privadas leem e escrevem para o Amazon Kinesis Data Streams. O Cost Explorer mostra consistentemente altas cobranças de EC2-Other devido ao aumento dos custos de NatGateway-Bytes. O arquiteto de soluções deve reduzir os custos preservando a funcionalidade da aplicação. O que o arquiteto deve fazer?

A causa raiz do alto custo de NatGateway-Bytes é o tráfego das aplicações em sub-redes privadas para o Kinesis Data Streams que passa pelo NAT Gateway para acessar o serviço público da AWS. Adicionar um VPC endpoint de interface para o Kinesis Data Streams permite que as aplicações acessem o serviço de forma privada, sem sair da VPC e sem usar o NAT Gateway, reduzindo significativamente os custos. A política do VPC endpoint deve ser configurada para permitir o tráfego das aplicações. Habilitar VPC Flow Logs e usar Athena ou Detective pode identificar tráfego desnecessário, mas não resolve o problema fundamental do tráfego legítimo para o Kinesis Data Streams passando pelo NAT Gateway. Além disso, bloquear tráfego com security groups pode quebrar a funcionalidade da aplicação se o tráfego for necessário.