Un set di dati archiviato in Amazon S3 contiene PII e deve soddisfare i seguenti requisiti: deve essere raggiungibile solo da una VPC specifica e non deve attraversare la rete Internet pubblica. Come è possibile soddisfare questi vincoli?

La risposta corretta è creare un VPC endpoint e allegare una policy del bucket S3 che limiti l'accesso allo specifico VPC endpoint e alla sua VPC. Un VPC endpoint per S3 (di tipo gateway) consente alle istanze all'interno di un VPC di accedere ai bucket S3 senza attraversare Internet, mantenendo il traffico all'interno della rete AWS. La policy del bucket S3 è essenziale per limitare l'accesso esclusivamente a questo endpoint e al VPC associato, garantendo che solo le risorse autorizzate all'interno di quel VPC possano accedere ai dati PII. Le altre opzioni sono meno efficaci o incomplete: "Creare un VPC endpoint e utilizzare una policy del bucket che conceda l'accesso al VPC endpoint e a un'istanza EC2" è meno precisa perché la policy dovrebbe limitare l'accesso all'intero VPC tramite l'endpoint, non solo a una singola istanza EC2. "Creare un VPC endpoint e configurare gli ACL di rete per consentire il traffico solo tra tale VPC endpoint e un'istanza EC2" e "Creare un VPC endpoint e fare affidamento sui gruppi di sicurezza per limitare l'accesso al VPC endpoint e a un'istanza EC2" sono insufficienti. Sebbene gli ACL di rete e i gruppi di sicurezza siano importanti per la sicurezza a livello di istanza e sottorete, non possono limitare l'accesso a S3 a livello di bucket in base all'origine del traffico VPC endpoint. La policy del bucket S3 è il meccanismo primario per questo tipo di controllo granulare.