Ein Unternehmen für medizinische Aufzeichnungen betreibt eine Anwendung auf Amazon EC2-Instances in öffentlichen Subnetzen, die in Amazon S3 gespeicherte Dateien verarbeitet. Die EC2-Instances greifen über das Internet auf Amazon S3 zu und benötigen keinen weiteren Netzwerkzugriff. Eine neue Anforderung besagt, dass der Netzwerkverkehr für die Dateiübertragung über eine private Route erfolgen und das Internet nicht durchqueren darf. Welche Änderung an der Netzwerkarchitektur erfüllt diese Anforderung?

Die Verschiebung der EC2-Instanzen in private Subnetze stellt sicher, dass sie keinen direkten Internetzugang haben. Die Erstellung eines VPC-Endpunkts für Amazon S3 (ein Gateway-Endpunkt) ermöglicht den privaten Zugriff auf S3 von den EC2-Instanzen aus, ohne das Internet zu durchqueren. Die Zuordnung des Endpunkts zur Routing-Tabelle der privaten Subnetze leitet den S3-Verkehr korrekt um. Ein NAT Gateway ist für ausgehenden Internetzugang gedacht und würde den S3-Verkehr weiterhin über das Internet leiten. Das Konfigurieren von Sicherheitsgruppen schränkt den Zugriff ein, ändert aber nicht den Routing-Pfad. Das Entfernen des Internet Gateways und die Einrichtung von Direct Connect ist eine zu umfassende und teure Lösung, die zudem den Zugriff auf S3 nicht direkt privatisiert, sondern nur den allgemeinen Internetzugang ändert.