Un fornitore SaaS di terze parti esegue il suo servizio all'interno di una VPC su AWS ed espone le sue funzionalità tramite API. La tua azienda richiamerà tali API da risorse all'interno della tua VPC. La policy aziendale richiede connettività privata che non attraversi la rete Internet pubblica e le risorse nella tua VPC non devono essere accessibili dall'esterno della tua VPC. Tutti gli accessi devono seguire il principio del privilegio minimo. Quale soluzione soddisfa questi vincoli?

La soluzione corretta è creare un endpoint VPC di interfaccia AWS PrivateLink nella tua VPC e collegarlo al servizio endpoint esposto dal fornitore SaaS. Questo garantisce connettività privata che non attraversa Internet pubblico, soddisfacendo il requisito di sicurezza. L'applicazione di un security group all'endpoint di interfaccia permette di limitare l'accesso ai client autorizzati, aderendo al principio del privilegio minimo. Le altre opzioni non sono ideali: Una connessione VPN Site-to-Site tra due VPC AWS è complessa e meno efficiente rispetto a PrivateLink per questo scenario. Il VPC peering esporrebbe l'intera VPC del fornitore alla tua VPC (e viceversa), violando il principio del privilegio minimo e il requisito che le risorse nella tua VPC non siano accessibili dall'esterno. Creare un servizio endpoint nel tuo account e chiedere al fornitore di creare un endpoint di interfaccia per esso è l'inverso del flusso corretto; il fornitore espone il servizio, tu lo consumi.