Ein Unternehmen betreibt ein Batch-Verarbeitungssystem, das Amazon S3, Amazon EC2 und AWS Key Management Service (AWS KMS) über zwei AWS-Konten hinweg nutzt. Konto A hostet einen S3-Bucket für Eingabe- und Ausgabeobjekte, die mit einem KMS-Schlüssel in Konto A verschlüsselt sind. Konto B hostet eine VPC mit EC2-Instances, die über eine Bucket-Richtlinie auf den S3-Bucket zugreifen. Die VPC hat DNS-Hostnamen und DNS-Auflösung aktiviert. Das Unternehmen muss das System ohne Codeänderungen neu gestalten, sodass keine AWS-API-Aufrufe von den EC2-Instances das Internet durchqueren. Welche Kombination von Schritten erfüllt diese Anforderungen? (Wählen Sie zwei.)

Um zu verhindern, dass AWS-API-Aufrufe das Internet durchqueren, müssen VPC-Endpunkte für die beteiligten Dienste konfiguriert werden. Für Amazon S3 ist ein Gateway-VPC-Endpunkt die korrekte Wahl, da er den Datenverkehr zu S3 über das AWS-Netzwerk leitet, ohne dass Codeänderungen erforderlich sind. Die Endpunktrichtlinie muss die erforderlichen S3-Aktionen zulassen. Für AWS KMS ist ein Interface-VPC-Endpunkt erforderlich, da KMS ein API-basierter Dienst ist. Die Aktivierung von Private DNS für den KMS-Endpunkt stellt sicher, dass die EC2-Instances die privaten IP-Adressen des Endpunkts verwenden, ohne dass DNS-Änderungen auf den Instances vorgenommen werden müssen. Ein Interface-VPC-Endpunkt für S3 wäre falsch, da er für S3-Zugriffe über private Links gedacht ist, nicht für den direkten Zugriff auf S3-Buckets. Die Option, die Private DNS für KMS deaktiviert, würde manuelle DNS-Konfigurationen erfordern, was nicht der Anforderung "ohne Codeänderungen" entspricht.