Un'azienda archivia i dati IoT in un data lake Amazon S3. Gli scienziati dei dati eseguono analisi su istanze EC2 in sottoreti pubbliche di una VPC in un account AWS diverso; queste istanze EC2 hanno già un ruolo IAM che consente l'accesso a S3. La politica aziendale richiede che solo le reti autorizzate possano accedere ai dati IoT. Quale combinazione di passaggi dovrebbe implementare un architetto di soluzioni per soddisfare questi requisiti? (Scegliere due.)

Per soddisfare i requisiti, è necessario creare un S3 Access Point nell'account degli scienziati dei dati che punti al data lake S3. Questo consente di definire politiche di accesso granulari e specifiche per l'applicazione. Successivamente, è fondamentale aggiungere una S3 bucket policy al bucket del data lake che consenta l'azione s3:GetObject solo quando la richiesta proviene tramite l'ARN dell'Access Point creato (s3:DataAccessPointArn). Questo garantisce che solo le reti autorizzate (quelle che possono accedere all'Access Point) possano accedere ai dati, rispettando la politica aziendale. Creare un gateway VPC endpoint per S3 è utile per instradare il traffico S3 privatamente, ma non impone restrizioni basate sull'Access Point. Aggiornare il ruolo dell'istanza EC2 è una buona pratica per i permessi, ma la restrizione basata sull'Access Point deve essere applicata a livello di bucket policy per essere efficace e centralizzata. Modificare la tabella di routing non è il meccanismo corretto per applicare politiche di accesso a S3.