Un'azienda esegue microservizi su istanze EC2 in più zone di disponibilità dietro un ALB. È stata creata una nuova API REST in Amazon API Gateway. Alcuni microservizi legacy in esecuzione su EC2 devono chiamare la nuova API, ma l'azienda richiede che l'API non sia esposta a Internet pubblico e che il traffico non attraversi Internet pubblico. Cosa dovrebbe fare un architetto di soluzioni per soddisfare questi vincoli?

La soluzione corretta prevede la creazione di un endpoint VPC di interfaccia per API Gateway e l'impostazione del tipo di endpoint dell'API su "Private". Questo garantisce che l'API sia accessibile solo dall'interno del VPC e che il traffico non attraversi Internet pubblico, soddisfacendo entrambi i requisiti. L'applicazione di una policy dell'endpoint e di una resource policy all'API limita ulteriormente l'accesso solo all'API specifica e al VPC endpoint designato, migliorando la sicurezza. La creazione di una connessione Site-to-Site VPN non è necessaria né appropriata per la comunicazione interna al VPC. L'autenticazione IAM è una buona pratica di sicurezza, ma spostare API Gateway in un nuovo VPC e usare un Transit Gateway non risolve il requisito di non esporre l'API a Internet pubblico e non far attraversare il traffico a Internet pubblico in modo efficiente per questo scenario. AWS Global Accelerator è per migliorare le prestazioni e la disponibilità per gli utenti pubblici, non per isolare l'API da Internet pubblico.