Una empresa aloja su aplicación en instancias de Amazon EC2 dentro de una VPC y crea un bucket de Amazon S3 dedicado para cada cliente. La aplicación debe poder acceder de forma segura solo a los buckets de S3 que pertenecen a la cuenta de AWS de la empresa. ¿Qué solución proporciona esto con la MENOR sobrecarga operativa?

La opción correcta es crear un endpoint de gateway para Amazon S3 y actualizar la política del perfil de instancia de IAM con una acción Deny y una clave de condición específica. Un endpoint de gateway para S3 permite que las instancias de EC2 accedan a S3 sin pasar por Internet, lo que mejora la seguridad y reduce la sobrecarga operativa al no requerir NAT Gateway. La política de IAM con una acción Deny y la condición aws:SourceVpc asegura que las instancias solo puedan acceder a los buckets de S3 que pertenecen a la misma cuenta de AWS y están asociados a la VPC, bloqueando el acceso a buckets externos. Las otras opciones son incorrectas porque: La primera opción no especifica cómo restringir el acceso solo a los buckets de la cuenta de la empresa, lo que podría permitir el acceso a buckets externos si la política de IAM es demasiado permisiva. Las opciones que involucran NAT Gateway aumentan la sobrecarga operativa y los costos, ya que el tráfico a S3 pasaría por el NAT Gateway en lugar de usar una conexión directa y gratuita a través de un endpoint de gateway. Además, no resuelven de forma inherente la restricción de acceso a buckets de la misma cuenta.