Un'azienda ospita la sua applicazione su istanze Amazon EC2 all'interno di una VPC e crea un bucket Amazon S3 dedicato per ogni cliente. L'applicazione deve essere in grado di accedere in modo sicuro solo ai bucket S3 che appartengono all'account AWS dell'azienda. Quale soluzione offre questo con il MINOR overhead operativo?

La soluzione corretta prevede la creazione di un endpoint gateway per Amazon S3 e l'aggiornamento della policy IAM del profilo dell'istanza. Un endpoint gateway permette alle istanze EC2 di accedere a S3 privatamente, senza passare per Internet, riducendo l'overhead di rete e migliorando la sicurezza. La policy IAM con un'azione Deny e la condizione aws:RequestedRegion impedisce l'accesso a bucket S3 al di fuori della regione specificata, garantendo che l'applicazione acceda solo ai bucket dell'azienda. L'opzione che suggerisce un NAT Gateway è meno efficiente e più complessa. Un NAT Gateway instrada il traffico S3 attraverso Internet, aumentando la latenza e i costi, e non offre lo stesso livello di controllo granulare sull'accesso ai bucket come una policy IAM basata su endpoint. Assegnare policy di bucket individuali per negare l'accesso a tutti i bucket non aziendali sarebbe un overhead operativo significativo e difficile da mantenere.