Uma solução será executada na AWS e receberá conexões de milhares de dispositivos que devem enviar e receber mensagens MQTT em tempo real. Cada dispositivo deve se autenticar usando seu próprio certificado X.509 exclusivo. Qual arquitetura oferece essa capacidade com o menor overhead operacional?

A opção correta é usar o AWS IoT Core, criar um AWS IoT thing e provisionar um certificado X.509 para cada dispositivo, e fazer com que cada dispositivo se conecte ao AWS IoT Core. O AWS IoT Core é um serviço gerenciado que suporta MQTT e autenticação mTLS com certificados X.509, sendo projetado para lidar com milhões de dispositivos e mensagens em tempo real com baixo overhead operacional. A opção de usar Amazon MQ não é ideal porque o Amazon MQ é um broker de mensagens gerenciado para padrões como AMQP e OpenWire, mas não é otimizado para a escala e o modelo de conexão de milhares de dispositivos IoT com MQTT. A opção de implantar um broker MQTT em instâncias EC2 com um NLB e um autorizador Lambda aumenta significativamente o overhead operacional, pois exige gerenciamento de infraestrutura (EC2, Auto Scaling, broker MQTT) e desenvolvimento de lógica de autenticação personalizada. A opção de configurar uma API Gateway HTTP API com mTLS e um broker MQTT no EC2 é inadequada porque o API Gateway HTTP API não suporta MQTT nativamente, e a solução ainda incorre no alto overhead operacional de gerenciar um broker MQTT em EC2.