Un'azienda utilizza le funzioni AWS Lambda per automatizzare la risposta agli incidenti per le istanze Amazon EC2. Le funzioni raccolgono artefatti (ad esempio, ID dell'istanza e configurazione del gruppo di sicurezza) e scrivono un riepilogo in un bucket Amazon S3. La VPC dell'azienda ha sottoreti pubbliche con un internet gateway e sottoreti private con un NAT gateway. Tutto il traffico S3 relativo alla risposta agli incidenti deve rimanere sulla rete AWS e non deve attraversare la rete internet pubblica. Quale soluzione soddisfa questi requisiti?

La soluzione corretta prevede la distribuzione delle funzioni Lambda nelle sottoreti private e la creazione di un VPC endpoint gateway per S3. Le funzioni Lambda in una sottorete privata non hanno accesso diretto a Internet. Un VPC endpoint gateway per S3 consente alle funzioni di accedere ad Amazon S3 in modo privato, mantenendo il traffico all'interno della rete AWS e senza passare per Internet pubblico, soddisfacendo il requisito di sicurezza. Le altre opzioni sono errate perché: Instradare il traffico S3 tramite un NAT gateway non è necessario e non garantisce che il traffico rimanga interamente sulla rete AWS per S3, poiché il NAT gateway è progettato per l'accesso a Internet. Posizionare il bucket S3 e le funzioni Lambda nella stessa sottorete privata non è rilevante per l'accesso a S3, in quanto S3 è un servizio globale. L'utilizzo dell'endpoint pubblico predefinito violerebbe il requisito di non attraversare la rete internet pubblica. L'uso di una coda SQS non risolve il problema dell'accesso privato a S3 dalle funzioni Lambda.