Un servizio di elaborazione delle immagini è in esecuzione in una VPC su due zone di disponibilità (AZ). Ogni AZ ha una sottorete pubblica e una privata. Le istanze EC2 sono in esecuzione nelle sottoreti private e sono precedute da un ALB nelle sottoreti pubbliche. Il servizio necessita di accesso a Internet e utilizza due NAT gateway. Le immagini sono archiviate in Amazon S3 e le istanze EC2 recuperano circa 1 ■■ di dati dal bucket S3 ogni giorno. L'azienda pone l'accento su una postura di sicurezza elevata. L'architetto di soluzioni deve minimizzare i costi senza indebolire la sicurezza o aumentare l'overhead operativo. Quale soluzione soddisfa i requisiti?

La creazione di un VPC endpoint gateway S3 è la soluzione più efficace. Questo consente alle istanze EC2 nelle sottoreti private di accedere a S3 direttamente tramite la rete AWS, senza passare per i NAT gateway. Ciò riduce i costi eliminando il traffico di dati attraverso i NAT gateway (che vengono fatturati per GB elaborato), migliora la sicurezza mantenendo il traffico S3 all'interno della rete AWS e non indebolisce la postura di sicurezza. Le policy degli endpoint garantiscono un controllo granulare degli accessi. Sostituire i NAT gateway con istanze NAT aumenterebbe l'overhead operativo e non ridurrebbe significativamente i costi per il traffico S3, che continuerebbe a passare attraverso un'istanza. Spostare le istanze EC2 nelle sottoreti pubbliche comprometterebbe gravemente la sicurezza. Utilizzare Amazon EFS per archiviare le immagini non è appropriato in questo scenario, in quanto S3 è già la soluzione di storage scalabile e a basso costo per oggetti, e EFS è un file system di rete per carichi di lavoro che richiedono accesso a livello di file.