Un'azienda esegue un'applicazione su istanze Amazon EC2 in una sottorete privata. L'applicazione deve elaborare dati sensibili da un bucket Amazon S3 senza utilizzare Internet. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è configurare un VPC endpoint. Un VPC endpoint di tipo gateway per S3 consente alle istanze EC2 in una sottorete privata di accedere ai bucket S3 senza attraversare Internet. Questo garantisce che i dati sensibili rimangano all'interno della rete AWS. È necessario aggiornare la policy del bucket S3 per consentire l'accesso dall'ID del VPC endpoint. L'applicazione non necessita di modifiche per "utilizzare" il VPC endpoint, poiché il traffico verso S3 verrà automaticamente instradato attraverso di esso una volta configurato nella tabella di routing del VPC. Le opzioni errate non soddisfano i requisiti di sicurezza: Un internet gateway espone il traffico a Internet, violando il requisito di non utilizzare Internet. Una connessione VPN è per l'accesso da reti esterne, non per l'accesso interno tra servizi AWS all'interno dello stesso VPC senza passare per Internet. Un NAT gateway consente alle istanze private di avviare connessioni in uscita verso Internet, ma non fornisce un percorso privato e sicuro per S3 senza attraversare Internet.