Una empresa ejecuta una aplicación en una subred privada detrás de un Application Load Balancer (ALB) en una VPC. La VPC tiene un NAT gateway y un internet gateway. La aplicación llama a la API de Amazon S3 para almacenar objetos. La política de seguridad requiere que el tráfico de la aplicación no atraviese internet. ¿Qué solución cumple estos requisitos de la manera MÁS rentable?

La opción correcta es configurar un S3 gateway endpoint y actualizar la tabla de ruteo. Un gateway endpoint para S3 permite que el tráfico a S3 permanezca dentro de la red de AWS, sin atravesar internet, cumpliendo con el requisito de seguridad. Es la solución más rentable porque los gateway endpoints no tienen costo adicional. Configurar un S3 interface endpoint (PrivateLink) también mantendría el tráfico dentro de la red de AWS, pero incurre en costos por hora y por datos procesados, lo que lo hace menos rentable. Configurar una S3 bucket policy para permitir el tráfico desde la IP elástica del NAT gateway no evita que el tráfico atraviese internet, ya que el NAT gateway está diseñado para permitir que las instancias en subredes privadas inicien conexiones salientes a internet. Crear un segundo NAT gateway no es relevante para el acceso a S3 y no evita que el tráfico a S3 atraviese internet si no se usa un endpoint.