Un'azienda ha più unità aziendali, ognuna delle quali esegue applicazioni in account AWS separati e VPC applicativi nella stessa Regione. Tali applicazioni devono utilizzare i dati di un VPC di servizi condivisi centrale. L'azienda richiede controlli di sicurezza granulari e un'architettura in grado di scalare man mano che più unità aziendali si connettono al VPC di servizi condivisi. Qual è la soluzione più sicura e scalabile?

La soluzione più sicura e scalabile è pubblicare i servizi di endpoint VPC supportati da AWS PrivateLink nel VPC di servizi condivisi centrale e creare endpoint VPC in ogni VPC applicativo. PrivateLink consente una connettività privata e unidirezionale tra i VPC, esponendo solo i servizi specifici necessari. Questo garantisce controlli di sicurezza granulari, poiché il traffico non attraversa la rete pubblica di Internet e i VPC applicativi non hanno accesso completo al VPC di servizi condivisi. È altamente scalabile perché ogni connessione endpoint è indipendente e non richiede la gestione di tabelle di routing complesse o l'overhead di un Transit Gateway per questo specifico caso d'uso di accesso ai servizi. Le altre opzioni sono meno ideali: Il Transit Gateway con connettività full-mesh tra tutti i VPC non soddisfa il requisito di controlli di sicurezza granulari, poiché permetterebbe a tutti i VPC di comunicare tra loro, non solo con il VPC dei servizi. Il VPC peering non è scalabile per un numero elevato di VPC, poiché richiede la gestione di molteplici connessioni e tabelle di routing complesse (N(N-1)/2 connessioni per N VPC). Un VPC di transito con un'appliance VPN introduce un singolo punto di guasto, costi aggiuntivi per l'appliance e problemi di scalabilità e gestione delle VPN per ogni VPC.