Un'applicazione web a due livelli verrà eseguita in una nuova VPC a regione singola con un internet gateway e quattro sottoreti (due pubbliche con route IGW, due private senza una route predefinita). L'applicazione viene eseguita su istanze EC2 dietro un Application Load Balancer esterno e non deve essere raggiungibile direttamente da Internet. L'applicazione utilizza un bucket S3 nella stessa regione per operazioni GET e PUT. Progettare un'architettura VPC che minimizzi i costi di trasferimento dati pur soddisfacendo questi requisiti. Quale soluzione dovrebbe scegliere l'ingegnere?

La soluzione corretta prevede di distribuire le istanze EC2 nelle sottoreti private e creare un endpoint gateway S3. Le istanze EC2 devono trovarsi in sottoreti private per non essere raggiungibili direttamente da Internet, con l'Application Load Balancer esterno che gestisce il traffico. Un endpoint gateway S3 consente alle istanze nelle sottoreti private di accedere a S3 senza attraversare un Internet Gateway o un NAT Gateway, riducendo i costi di trasferimento dati e migliorando la sicurezza. Specificare la tabella di routing delle sottoreti private durante la creazione dell'endpoint aggiunge automaticamente le route necessarie. Le altre opzioni sono meno efficienti o non soddisfano i requisiti: Distribuire le istanze EC2 nelle sottoreti pubbliche le renderebbe direttamente accessibili da Internet, violando un requisito. L'uso di un NAT Gateway per connettersi a S3 comporterebbe costi di trasferimento dati più elevati rispetto a un endpoint gateway S3, poiché il traffico passerebbe attraverso il NAT Gateway. Un endpoint di interfaccia S3 (PrivateLink) è un'opzione valida, ma un endpoint gateway S3 è più conveniente per l'accesso a S3 dalla stessa regione, in quanto non comporta costi orari o per GB di dati elaborati dall'endpoint.