Una empresa creó API utilizando Amazon API Gateway con endpoints Regionales. Estas API invocan funciones de AWS Lambda y utilizan la autenticación de API Gateway. Una revisión encontró un subconjunto de API que no deben ser accesibles públicamente y solo deben poder invocarse desde dentro de una VPC. Todas las llamadas deben provenir de usuarios autenticados. ¿Qué solución logra esto con el menor esfuerzo?

La opción correcta es cambiar el tipo de endpoint de API Gateway a Private y usar un VPC endpoint de interfaz (AWS PrivateLink). Esto permite que las API sean accesibles solo desde dentro de la VPC, manteniendo la autenticación de API Gateway y sin exponerlas a Internet, lo que cumple con el requisito de menor esfuerzo. Las otras opciones son incorrectas porque: Crear un ALB interno para Lambda no utiliza API Gateway, lo que requeriría reescribir la lógica de autenticación existente y es un esfuerzo mayor. Eliminar la entrada DNS de API Gateway y usar Route 53 no restringe el acceso a la VPC; la API seguiría siendo accesible públicamente si se conoce el endpoint. Implementar Lambda dentro de la VPC con un servidor Apache introduce complejidad innecesaria y no aprovecha las capacidades de API Gateway para la autenticación y gestión de APIs.