Eine Multi-Account-Umgebung hat ein Konto pro Microservice. Jeder Microservice läuft in seiner eigenen VPC mit EC2-Instances hinter einem NLB. Ein Shared Services-Konto wird eine API Gateway HTTP API hosten, um Microservices privat zugänglich zu machen. Der Zugriff muss privat sein (keine öffentlichen Endpunkte) und das Unternehmen muss kontrollieren können, welche internen Entitäten sich verbinden können. Das Design muss es ermöglichen, später weitere Microservices hinzuzufügen. Welches ist die SICHERSTE Lösung, die diese Anforderungen erfüllt?

Die korrekte Lösung verwendet AWS PrivateLink, um eine private und sichere Verbindung von der API Gateway HTTP API zu den Microservices herzustellen. Ein VPC Endpoint Service in jedem Microservice-Konto macht den NLB privat verfügbar. Im Shared Services-Konto wird ein PrivateLink-Endpunkt erstellt, der sich mit diesen Services verbindet. Die ENI-IPs des PrivateLink-Endpunkts werden als Ziele für einen ALB verwendet, der wiederum über einen VPC Link mit API Gateway integriert ist. Dies ermöglicht eine feingranulare Zugriffskontrolle und Skalierbarkeit für zukünftige Microservices. Option 2 ist unsicher, da die direkte Verbindung über Transit Gateway und die Verwendung von NLB-IPs als ALB-Ziele keine feingranulare Zugriffskontrolle auf den NLB-Ebene bietet und die Microservices nicht isoliert. Option 3 verwendet HTTP-Integrationen, die keine private Verbindung über PrivateLink herstellen und somit potenziell öffentliche Endpunkte erfordern oder die Sicherheit beeinträchtigen. Option 4 verwendet VPC Link-Integrationen direkt zu jedem NLB, was zwar privat ist, aber die Skalierbarkeit und Verwaltung bei vielen Microservices erschwert und nicht die gleiche Kontrolle wie PrivateLink bietet.