Un servicio de procesamiento de imágenes se ejecuta en una VPC a través de dos zonas de disponibilidad. Cada AZ tiene una subred pública y una privada. Las instancias EC2 se ejecutan en las subredes privadas y están precedidas por un ALB en las subredes públicas. El servicio necesita acceso a Internet y utiliza dos NAT gateways. Las imágenes se almacenan en Amazon S3 y las instancias EC2 recuperan aproximadamente 1 ■■ de datos del bucket de S3 cada día. La empresa enfatiza una postura de alta seguridad. El arquitecto de soluciones debe minimizar los costos sin debilitar la seguridad ni aumentar la sobrecarga operativa. ¿Qué solución cumple con los requisitos?

La opción correcta es crear un S3 gateway VPC endpoint. Esto permite que las instancias EC2 en subredes privadas accedan a S3 directamente desde la VPC, sin pasar por Internet ni las NAT gateways. Esto reduce los costos de transferencia de datos (ya que el tráfico a S3 a través de un VPC endpoint es gratuito) y mejora la seguridad al mantener el tráfico dentro de la red de AWS. La política de punto final restringe el acceso solo a las acciones y buckets necesarios, manteniendo una postura de alta seguridad. Reemplazar NAT gateways con instancias NAT aumenta la sobrecarga operativa y no reduce los costos de transferencia de datos a S3. Mover las instancias EC2 a subredes públicas debilita la seguridad al exponerlas directamente a Internet. Usar Amazon EFS no es una solución adecuada para almacenar grandes volúmenes de imágenes de S3, ni aborda el acceso seguro y rentable a S3.