Una empresa de registros médicos ejecuta una aplicación en instancias de Amazon EC2 en subredes públicas que procesa archivos almacenados en Amazon S3. Las instancias EC2 acceden a Amazon S3 a través de internet y no requieren ningún otro acceso a la red. Un nuevo requisito exige que el tráfico de red de transferencia de archivos utilice una ruta privada y no atraviese internet. ¿Qué cambio en la arquitectura de red cumple este requisito?

La opción correcta es mover las instancias EC2 a subredes privadas y crear un VPC endpoint para Amazon S3. Al mover las instancias a subredes privadas, se asegura que no tengan acceso directo a internet. Un VPC endpoint de tipo Gateway para S3 permite que las instancias en la VPC accedan a S3 de forma privada, utilizando la red interna de AWS en lugar de internet, cumpliendo el requisito de una ruta privada. Crear un NAT Gateway no es correcto porque, aunque permitiría a las instancias en subredes privadas acceder a internet (y por ende a S3 a través de internet), el requisito es usar una ruta privada que no atraviese internet. Configurar el grupo de seguridad solo restringe el tráfico, pero no cambia la ruta de red subyacente. Eliminar el internet gateway y usar Direct Connect no es el método más eficiente ni directo para el acceso privado a S3 desde EC2 dentro de la misma VPC; Direct Connect se usa principalmente para conectar la red local a AWS.