ある金融会社が、共有のAmazon S3バケットに保存されているデータをクエリするために、Amazon RedshiftとRedshift Spectrumを使用しています。データは認定されたサードパーティプロバイダーから提供されており、各プロバイダーは個別の接続詳細を持っています。規制により、会社のAWS環境外からデータにアクセスできないようにする必要があります。これらの要件を満たすために、会社はどのようなアクションの組み合わせを取るべきですか？（2つ選択してください。）

最初の正解の選択肢は、Redshiftクラスターをプライベートサブネットに配置し、インターフェースVPCエンドポイント経由で接続することで、RedshiftへのアクセスをAWS環境内に限定します。NATゲートウェイは、プライベートサブネット内のRedshiftがS3バケットに安全にアクセスできるようにし、インターネット経由のデータ流出を防ぎます。2番目の正解の選択肢は、Redshiftの拡張VPCルーティングを有効にすることで、RedshiftとS3間のすべてのトラフィックがVPCを通過するように強制し、セキュリティを強化します。AWS Direct Connectは、各データプロバイダーと会社のVPC間のプライベートでセキュアな接続を確立し、規制要件を満たします。CloudHSMはデータ暗号化には関連しますが、接続要件には直接対応しません。テーブル制約はデータ整合性に関わるもので、接続セキュリティとは異なります。フェデレーテッドクエリはS3バケットの使用を前提としていないため、問題の要件と矛盾します。