Una empresa ejecuta microservicios en instancias EC2 en múltiples zonas de disponibilidad detrás de un ALB. Se creó una nueva API REST en Amazon API Gateway. Algunos microservicios heredados que se ejecutan en EC2 necesitan llamar a la nueva API, pero la empresa requiere que la API no esté expuesta a la internet pública y que el tráfico no atraviese la internet pública. ¿Qué debe hacer un arquitecto de soluciones para satisfacer estas restricciones?

La opción correcta establece un VPC endpoint de interfaz para API Gateway, lo que permite que los microservicios en EC2 accedan a la API de forma privada dentro de la VPC, sin atravesar la internet pública. La política de endpoint y la política de recursos de la API restringen el acceso solo a ese endpoint específico, garantizando la seguridad. El tipo de endpoint "Private" en API Gateway es crucial para esta configuración. Las otras opciones son incorrectas porque: La VPN Site-to-Site no es el mecanismo adecuado para la comunicación privada entre servicios dentro de AWS. La autenticación IAM es una buena práctica, pero mover API Gateway a una nueva VPC y usar un Transit Gateway no es necesario para la comunicación privada dentro de la misma VPC, y no resuelve el requisito de no exponer la API a internet. AWS Global Accelerator mejora el rendimiento y la disponibilidad, pero no garantiza la privacidad del tráfico ni evita la exposición a internet pública para este caso de uso.