Un'applicazione in esecuzione on-premises e su EC2 accede a un bucket S3 tramite la rete Internet pubblica. Le istanze EC2 si connettono all'ambiente on-prem tramite una VPN Site-to-Site. Nuove normative impongono che il traffico tra i server delle applicazioni e S3 debba rimanere privato ed evitare gli indirizzi IP pubblici. Qual è la soluzione che soddisfa il requisito in modo più conveniente?

La soluzione più conveniente per soddisfare i requisiti di traffico privato per S3, sia per i server on-premises che per le istanze EC2, è una combinazione di endpoint. Per le istanze EC2 all'interno del VPC, un gateway endpoint S3 è la scelta più conveniente. Non comporta costi orari aggiuntivi per l'endpoint stesso e instrada il traffico S3 direttamente dalla tabella di routing del VPC, mantenendolo all'interno della rete AWS e privato. Per i server on-premises, che si connettono tramite VPN Site-to-Site, è necessario un interface endpoint S3 (powered by AWS PrivateLink). Questo tipo di endpoint fornisce indirizzi IP privati all'interno del VPC, accessibili tramite la VPN, garantendo che il traffico S3 rimanga privato anche per i server on-premises. L'accesso avviene tramite il nome DNS dell'endpoint. Le altre opzioni sono meno efficienti o non soddisfano completamente i requisiti: Un solo gateway endpoint non è accessibile da on-premises. Un solo interface endpoint per entrambi comporterebbe costi aggiuntivi per l'endpoint per il traffico EC2, quando un gateway endpoint è più economico per il VPC. L'opzione con il proxy aggiunge complessità e costi inutili.