Un'azienda ha due account AWS, Account A e Account B. Ogni account ha un VPC. Un'applicazione nel VPC in Account A deve scrivere in un bucket Amazon S3 in Account B. L'applicazione in Account A ha già il permesso di scrivere nel bucket. Sia l'applicazione che il bucket S3 si trovano nella stessa Regione AWS. L'azienda non deve inviare traffico su internet pubblico. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è creare un gateway VPC endpoint per Amazon S3 in Account A e aggiornare la tabella di routing del VPC in Account A. Questo perché un VPC endpoint di tipo gateway consente all'applicazione in Account A di accedere al bucket S3 in Account B tramite la rete AWS interna, senza attraversare internet pubblico. Non è necessario configurare nulla in Account B per questo tipo di accesso cross-account, poiché il bucket S3 è già configurato per consentire l'accesso. Le altre opzioni sono meno adatte: Creare un transit gateway in ogni account è una soluzione più complessa per la connettività tra VPC multipli o reti on-premise, non necessaria per un semplice accesso S3 cross-account. Distribuire un'appliance VPN software e creare una connessione VPN introdurrebbe complessità e costi aggiuntivi, oltre a non essere la soluzione più efficiente per l'accesso a S3 all'interno della rete AWS. Creare una connessione di peering VPC permetterebbe la comunicazione tra i VPC, ma l'accesso a S3 tramite peering VPC richiederebbe un VPC endpoint di tipo interfaccia (non gateway) o un gateway NAT, rendendo la soluzione più complessa del necessario per il solo accesso a S3.