Las instancias EC2 están en una subred privada y deben acceder a buckets de S3 en la misma Región. No se permiten cambios en las instancias o la aplicación, y las instancias no deben tener acceso a internet. ¿Qué enfoque satisface estas restricciones?

La opción correcta es crear un gateway VPC endpoint para S3. Este tipo de endpoint permite que las instancias en una subred privada accedan a S3 sin requerir una conexión a Internet ni un NAT Gateway. Al asociarlo con la tabla de ruteo de la subred, el tráfico a S3 se dirige directamente dentro de la red de AWS. Un S3 interface endpoint (PrivateLink) es incorrecto porque, aunque también es privado, es más costoso y no es necesario para S3, que tiene un gateway endpoint específico. Aprovisionar un NAT Gateway es incorrecto porque, aunque permite la salida a Internet, la pregunta especifica que las instancias no deben tener acceso a Internet. Implementar una instancia EC2 de proxy es incorrecto porque introduce un punto único de fallo, requiere gestión adicional y no es la solución nativa y más eficiente que ofrece AWS para este caso de uso.