一家全球性公司通过托管在公司数据中心的内部门户处理敏感的 PII，该数据中心通过 AWS Direct Connect 连接到 AWS。该应用程序将 PII 存储在 Amazon S3 中，并且策略要求门户和 S3 之间的流量不得通过公共互联网。SysOps 管理员应实施什么来确保 S3 流量保留在 AWS 私有网络上？

正确答案是为 Amazon S3 创建一个接口 VPC 端点，并更新应用程序以使用该端点。接口 VPC 端点（由 AWS PrivateLink 提供支持）允许您从 VPC 私密访问 S3，而无需通过互联网。这意味着从您的本地数据中心（通过 Direct Connect 连接到 VPC）到 S3 的流量将完全保留在 AWS 网络内部，满足了不得通过公共互联网传输敏感 PII 的要求。更新应用程序以使用该端点是必要的，以便应用程序知道通过私有连接路由其 S3 请求。 部署 AWS Network Firewall 不会改变 S3 流量的路由方式，它主要用于流量过滤和检查。修改应用程序以使用 S3 路径样式寻址仅是访问 S3 的另一种方式，它不会影响流量的路由路径。添加 VPC 网络 ACL 用于控制进出子网的流量，不能将流量重定向到“内部 S3 地址”，因为 S3 是一个公共服务，需要通过端点或网关进行私有访问。