Un'azienda globale elabora PII sensibili tramite un portale interno ospitato in un data center aziendale connesso ad AWS tramite AWS Direct Connect. L'applicazione archivia i PII in Amazon S3 e la policy richiede che il traffico tra il portale e S3 non attraversi la rete Internet pubblica. Cosa dovrebbe implementare l'amministratore SysOps per garantire che il traffico S3 rimanga sulle reti private di AWS?

Creare un VPC endpoint di interfaccia per Amazon S3 è la soluzione corretta perché un endpoint di interfaccia (powered by AWS PrivateLink) fornisce connettività privata tra il tuo VPC e i servizi AWS, come S3, senza attraversare la rete Internet pubblica. Questo garantisce che il traffico PII rimanga all'interno delle reti private di AWS, soddisfacendo il requisito della policy. L'applicazione dovrà essere aggiornata per utilizzare l'endpoint specifico. Distribuire AWS Network Firewall non è la soluzione principale per questo problema; è un servizio di sicurezza per il filtraggio del traffico, non per reindirizzare il traffico S3 su una rete privata. Modificare l'applicazione per utilizzare l'indirizzamento S3 in stile percorso è una modifica al modo in cui gli oggetti S3 sono indirizzati, ma non influisce sul percorso di rete del traffico. Aggiungere ACL di rete VPC che reindirizzano il traffico a un indirizzo S3 interno non è un meccanismo valido per connettersi privatamente a S3; le ACL di rete filtrano il traffico, non lo reindirizzano a servizi interni di AWS in questo modo.