Un conjunto de datos almacenado en Amazon S3 contiene PII y debe cumplir estos requisitos: solo debe ser accesible desde una VPC específica y no debe atravesar la internet pública. ¿Cómo puede cumplir estas restricciones?

La opción correcta es crear un VPC endpoint y adjuntar una política de bucket de S3 que restrinja el acceso al VPC endpoint especificado y a su VPC. Esto garantiza que el tráfico a S3 permanezca dentro de la red de AWS y no atraviese la internet pública, cumpliendo con el requisito de no exposición. La política de bucket restringe el acceso solo a la VPC y al endpoint específicos, asegurando que solo los recursos autorizados dentro de esa VPC puedan acceder a los datos con PII. Las otras opciones son incorrectas porque: Crear un VPC endpoint y usar una política de bucket que otorgue acceso al VPC endpoint y a una instancia EC2 no restringe el acceso a la VPC específica, lo que podría permitir el acceso desde otras VPCs o recursos no autorizados. Configurar las Network ACL solo permite el tráfico a nivel de subred, pero no restringe el acceso a S3 en sí mismo, ni garantiza que el tráfico no salga de la red de AWS. Confiar solo en los grupos de seguridad restringe el acceso a nivel de instancia, pero no impide que el tráfico a S3 atraviese la internet pública, ni restringe el acceso a S3 a nivel de bucket.