Un proveedor de SaaS externo ejecuta su servicio dentro de una VPC en AWS y expone su funcionalidad a través de API. Su empresa llamará a esas API desde recursos dentro de su VPC. La política de la empresa requiere conectividad privada que no atraviese la Internet pública, y los recursos en su VPC no deben ser accesibles desde fuera de su VPC. Todo acceso debe seguir el principio de privilegio mínimo. ¿Qué solución satisface estas restricciones?

La opción correcta es crear un interface VPC endpoint de AWS PrivateLink. PrivateLink permite la conectividad privada entre VPCs y servicios sin exponer el tráfico a la Internet pública, cumpliendo el requisito de conectividad privada y seguridad. El security group en el endpoint restringe el acceso a los clientes permitidos, adhiriéndose al principio de privilegio mínimo. Establecer una conexión Site-to-Site VPN no es ideal para la integración de servicios SaaS, ya que está diseñada principalmente para conectar redes locales a AWS. Además, las ACL de red son menos granulares que los security groups para el control de acceso a nivel de instancia. El VPC peering conectaría directamente las dos VPCs, pero esto podría exponer más recursos de lo necesario y no es la solución más segura para un proveedor de SaaS, ya que el proveedor tendría que gestionar rutas para su VPC. Crear un PrivateLink endpoint service en su cuenta y pedir al proveedor que cree un interface VPC endpoint es incorrecto. El proveedor de SaaS es quien expone el servicio, por lo que debería ser el propietario del endpoint service, y usted, como consumidor, crearía el interface VPC endpoint.