Un'azienda esegue un'applicazione in una sottorete privata dietro un Application Load Balancer (ALB) in un VPC. Il VPC dispone di un NAT gateway e di un internet gateway. L'applicazione chiama l'API di Amazon S3 per archiviare oggetti. La policy di sicurezza richiede che il traffico dall'applicazione non attraversi internet. Quale soluzione soddisfa questi requisiti nel modo PIÙ conveniente?

La soluzione più conveniente è configurare un S3 gateway endpoint. Questo tipo di endpoint consente alle istanze nel VPC di accedere a S3 privatamente, senza attraversare Internet, e non comporta costi aggiuntivi per l'elaborazione dei dati. L'aggiornamento della tabella di routing indirizza il traffico S3 attraverso l'endpoint. Configurare un S3 interface endpoint (VPC Endpoint di tipo Interface) è un'opzione valida per l'accesso privato, ma è più costoso perché genera costi orari e per gigabyte di dati elaborati, rendendolo meno conveniente. Configurare una S3 bucket policy per consentire il traffico dall'IP elastico del NAT gateway non impedirebbe al traffico di attraversare Internet, violando il requisito di sicurezza. Creare un secondo NAT gateway non risolverebbe il problema dell'accesso privato a S3 e aumenterebbe i costi, poiché il traffico continuerebbe a passare attraverso il NAT gateway e Internet.