Un'azienda di cartelle cliniche esegue un'applicazione su istanze Amazon EC2 in sottoreti pubbliche che elabora file archiviati in Amazon S3. Le istanze EC2 accedono ad Amazon S3 tramite Internet e non richiedono alcun altro accesso di rete. Un nuovo requisito impone che il traffico di rete per il trasferimento di file utilizzi un percorso privato e non attraversi Internet. Quale modifica all'architettura di rete soddisfa questo requisito?

La risposta corretta è spostare le istanze EC2 in sottoreti private e creare un VPC endpoint per Amazon S3. Questo perché un VPC endpoint di tipo gateway per S3 consente alle istanze EC2 in una sottorete privata di accedere a S3 senza attraversare Internet, utilizzando un percorso privato all'interno della rete AWS. Le istanze EC2 in sottoreti pubbliche, per definizione, hanno accesso a Internet; spostarle in sottoreti private è il primo passo per garantire che il traffico non esca dalla VPC. Le altre opzioni sono errate: Creare un NAT gateway non soddisfa il requisito di un percorso privato, poiché il NAT gateway è utilizzato per consentire alle istanze private di accedere a Internet. Configurare il gruppo di sicurezza per limitare il traffico in uscita non cambia il percorso di rete; il traffico continuerebbe a passare per Internet. Rimuovere l'internet gateway e usare AWS Direct Connect è una soluzione eccessiva e costosa per il solo accesso a S3, e Direct Connect è tipicamente usato per connettere la rete on-premise ad AWS, non per il traffico intra-AWS.