某公司将敏感的用户信息存储在 Amazon S3 存储桶中。该公司希望从运行在 VPC 内 Amazon EC2 实例上的应用层安全地访问此存储桶。解决方案架构师应采取哪些组合步骤来实现此目的？（选择两项。）

为了安全地从 VPC 内的 EC2 实例访问 S3 存储桶，并限制访问，应采取两个关键步骤。首先，在 VPC 中配置一个 VPC 网关端点。这允许 EC2 实例通过 AWS 内部网络私密地连接到 S3，而无需通过互联网，从而提高了安全性和性能。其次，创建存储桶策略，明确限制只有来自该特定 VPC 端点的请求才能访问 S3 存储桶。这确保了即使凭证泄露，存储桶也只能从受信任的 VPC 环境中访问。将对象公开会降低安全性。使用 IAM 用户凭证并复制到实例不安全。NAT 实例用于出站互联网访问，并非 S3 的安全私有连接方案。