Ein Unternehmen hat zwei AWS-Konten, Konto A und Konto B. Jedes Konto hat eine VPC. Eine Anwendung in der VPC in Konto A muss in einen Amazon S3-Bucket in Konto B schreiben. Die Anwendung in Konto A hat bereits die Berechtigung, in den Bucket zu schreiben. Sowohl die Anwendung als auch der S3-Bucket befinden sich in derselben AWS-Region. Das Unternehmen darf keinen Datenverkehr über das öffentliche Internet senden. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist, einen Gateway-VPC-Endpunkt für Amazon S3 in Konto A zu erstellen und die Routing-Tabelle zu aktualisieren. Ein Gateway-VPC-Endpunkt ermöglicht den privaten Zugriff auf S3 von der VPC in Konto A aus, ohne dass Datenverkehr über das öffentliche Internet geleitet wird, was eine Anforderung ist. Der Zugriff auf S3-Buckets in anderen Konten ist über einen Gateway-Endpunkt möglich, solange die Bucket-Richtlinie den Zugriff erlaubt. Die Option mit dem Transit Gateway ist nicht ideal, da S3 ein AWS-Service ist und nicht direkt über ein Transit Gateway erreicht wird. Transit Gateway wird hauptsächlich für die VPC-zu-VPC-Konnektivität oder die Verbindung zu On-Premise-Netzwerken verwendet. Eine Software-VPN-Appliance ist zu komplex und unnötig, da AWS eine native Lösung (VPC-Endpunkte) für den privaten Zugriff auf S3 bietet. Eine VPC-Peering-Verbindung würde den Datenverkehr zwischen den VPCs ermöglichen, aber S3 ist ein Service außerhalb der VPCs. Um S3 privat zu erreichen, wäre immer noch ein VPC-Endpunkt erforderlich, selbst bei Peering, da der Datenverkehr von der VPC zum S3-Service geleitet werden muss.