Una empresa está migrando datos y aplicaciones a AWS. La empresa necesita acceso seguro a los datos en Amazon S3 desde la región de AWS y desde la ubicación on-premises sin que los datos atraviesen internet. La empresa ya tiene una conexión AWS Direct Connect entre la región y la ubicación on-premises. ¿Qué solución cumple con estos requisitos?

La opción correcta es crear interface endpoints para Amazon S3. Los interface endpoints (basados en AWS PrivateLink) permiten que el tráfico a S3 se enrute de forma privada a través de la red de AWS, sin atravesar internet. Al combinarse con una conexión AWS Direct Connect, esto asegura que el acceso desde la ubicación on-premises a S3 también sea privado y no pase por internet. Los gateway endpoints solo son compatibles con S3 y DynamoDB, pero no permiten el acceso desde on-premises a través de Direct Connect de forma privada; solo funcionan dentro de la VPC. Crear un gateway en AWS Transit Gateway no es la solución directa para el acceso privado a S3; Transit Gateway enruta el tráfico entre VPCs y redes on-premises, pero necesita un endpoint de S3 para el acceso privado. Utilizar una clave de AWS KMS cifra los datos, pero no resuelve el requisito de acceso privado sin pasar por internet.