Uma VPC contém vários VPC endpoints para o Amazon S3. Um desenvolvedor precisa de uma política de bucket do S3 que garanta que o acesso ao bucket seja permitido somente quando as solicitações vierem por meio desses VPC endpoints. Qual solução satisfaz esse requisito?

A condição aws:SourceVpce em uma política de bucket do S3 é usada para restringir o acesso a solicitações que vêm de um VPC endpoint específico. Ao usar StringNotEquals com aws:SourceVpce e listar todos os IDs dos VPC endpoints permitidos, a política negará implicitamente qualquer solicitação que NÃO venha de um desses endpoints. Isso garante que o acesso ao bucket seja permitido somente quando as solicitações vêm por meio dos VPC endpoints especificados, satisfazendo o requisito. Criar várias políticas de bucket não é a abordagem mais eficiente e pode ser difícil de gerenciar. Usar aws:SourceVpc com o ID da VPC não é granular o suficiente, pois permite acesso de qualquer recurso dentro da VPC, não apenas dos endpoints específicos. Usar um curinga como vpce com StringNotEquals não é uma condição válida para aws:SourceVpce, que espera IDs de VPC endpoint específicos.