Eine zweistufige Webanwendung wird in einer neuen Single-Region-VPC mit einem Internet-Gateway und vier Subnetzen (zwei öffentliche mit IGW-Routen, zwei private ohne Standardroute) ausgeführt. Die Anwendung läuft auf EC2-Instances hinter einem externen Application Load Balancer und darf nicht direkt über das Internet erreichbar sein. Die Anwendung verwendet einen S3-Bucket in derselben Region für GET- und PUT-Operationen. Entwerfen Sie eine VPC-Architektur, die die Datenübertragungskosten minimiert und gleichzeitig diese Anforderungen erfüllt. Welche Lösung sollte der Ingenieur wählen?

Die korrekte Lösung platziert die EC2-Instanzen in privaten Subnetzen, um direkten Internetzugriff zu verhindern, wie gefordert. Ein S3-Gateway-Endpunkt ermöglicht den Zugriff auf S3 von der VPC aus, ohne dass Daten das Internet verlassen müssen, was die Datenübertragungskosten minimiert und die Sicherheit erhöht. Die Angabe der Routing-Tabelle der privaten Subnetze stellt sicher, dass der Datenverkehr zu S3 über den Gateway-Endpunkt geleitet wird. Die Option mit EC2-Instanzen in öffentlichen Subnetzen verstößt gegen die Anforderung, dass die Anwendung nicht direkt über das Internet erreichbar sein darf. Die Option mit NAT-Gateway für S3-Zugriff würde unnötige Kosten für das NAT-Gateway verursachen und der Datenverkehr würde das Internet durchqueren, anstatt privat zu bleiben. Die Option mit einem S3-Interface-Endpunkt und der Änderung des DNS-Hostnamens ist zwar technisch möglich, aber ein Gateway-Endpunkt ist für S3 kostenlos und optimiert für den Zugriff auf S3 aus einer VPC, was die Kosten minimiert.