Una empresa almacena datos de IoT en un data lake de Amazon S3. Los científicos de datos ejecutan análisis en instancias EC2 en subredes públicas de una VPC en una cuenta de AWS diferente; estas instancias EC2 ya tienen un rol de IAM que permite el acceso a S3. La política de la empresa exige que solo las redes autorizadas puedan acceder a los datos de IoT. ¿Qué combinación de pasos debe implementar un arquitecto de soluciones para cumplir con estos requisitos? (Elija dos.)

Para cumplir con los requisitos de seguridad y acceso, el arquitecto debe crear un S3 Access Point. Un Access Point permite configurar políticas de acceso específicas para un bucket, facilitando la gestión de permisos para diferentes aplicaciones o usuarios. Al crearlo en la cuenta de los científicos de datos, se centraliza el acceso desde su entorno. Luego, es crucial añadir una política de bucket de S3 que restrinja el acceso a s3:GetObject solo cuando la solicitud provenga del ARN del Access Point creado. Esto asegura que solo las redes autorizadas (a través del Access Point) puedan acceder a los datos, cumpliendo con la política de la empresa. Crear un gateway VPC endpoint para S3 es útil para el acceso privado, pero no aborda la restricción de acceso por red autorizada a nivel de bucket. Modificar la tabla de ruteo para S3 Access Point no es una configuración directa de ruteo y no impone la restricción de acceso deseada. Actualizar el rol de la instancia EC2 con la condición s3:DataAccessPointArn es una buena práctica para el principio de mínimo privilegio, pero la política de bucket es la que realmente impone la restricción de acceso a los datos desde el lado del bucket.