Una empresa tiene cientos de VPC que acceden a puntos de conexión públicos para Amazon S3 y AWS Systems Manager a través de NAT gateways. Todo el tráfico a S3 y Systems Manager fluye a través de esos NAT gateways. El ingeniero de red debe centralizar el acceso a estos servicios y eliminar la necesidad de usar puntos de conexión públicos, con la menor sobrecarga operativa. ¿Qué solución logra esto?

La opción correcta centraliza el acceso a S3 y Systems Manager mediante VPC endpoints de interfaz en una VPC de servicios compartidos, conectados a otras VPC a través de Transit Gateway. Desactivar el DNS privado en los endpoints y usar Route 53 Private Hosted Zones con registros de alias permite que las VPC resuelvan los nombres de servicio públicos (ej. s3.amazonaws.com) a las IPs privadas de los endpoints, eliminando la necesidad de NAT Gateways para estos servicios y reduciendo la sobrecarga. La primera opción es incorrecta porque los NAT Gateways están diseñados para tráfico saliente a Internet, no para acceder a servicios de AWS de forma privada. La segunda opción es incorrecta porque configurar reglas de reenvío de Route 53 para cada VPC endpoint de interfaz y asociarlas a todas las VPC es más complejo y menos escalable que usar zonas alojadas privadas con registros de alias. La cuarta opción es incorrecta porque activar el DNS privado en los VPC endpoints de interfaz solo permite la resolución de nombres de endpoint específicos (ej. vpce-xxxx.s3.us-east-1.vpce.amazonaws.com), no los nombres de servicio públicos (ej. s3.amazonaws.com), lo que requeriría cambios en la aplicación o una configuración DNS adicional.