Ein Unternehmen betreibt Microservices auf EC2-Instanzen in mehreren Availability Zones hinter einem ALB. Eine neue REST-API wurde in Amazon API Gateway erstellt. Einige ältere Microservices, die auf EC2 laufen, müssen die neue API aufrufen, aber das Unternehmen verlangt, dass die API nicht dem öffentlichen Internet ausgesetzt wird und dass der Datenverkehr nicht über das öffentliche Internet geleitet wird. Was sollte ein Solutions Architect tun, um diese Anforderungen zu erfüllen?

Die korrekte Lösung erfüllt alle Anforderungen. Ein Interface-VPC-Endpunkt für API Gateway (Typ „Private“) ermöglicht den privaten Zugriff auf die API über das AWS-Netzwerk, ohne das öffentliche Internet zu nutzen. Eine Endpunktrichtlinie am VPC-Endpunkt und eine Ressourcenrichtlinie an der API Gateway-API stellen sicher, dass nur autorisierte Microservices aus der VPC auf die API zugreifen können. Die Option mit Site-to-Site VPN ist falsch, da VPNs typischerweise für die Verbindung von On-Premise-Netzwerken mit AWS verwendet werden, nicht für den internen AWS-Dienstzugriff innerhalb derselben Region. Die IAM-Authentifizierung ist zwar eine gute Sicherheitspraxis, aber das Verschieben von API Gateway in eine neue VPC und die Verwendung von Transit Gateway ist unnötig komplex und löst nicht direkt die Anforderung des privaten Zugriffs ohne öffentliches Internet. AWS Global Accelerator ist für die Leistungsoptimierung über das öffentliche Internet konzipiert und würde die Anforderung, den Datenverkehr nicht über das öffentliche Internet zu leiten, nicht erfüllen.