VPC에 Amazon S3용 VPC 엔드포인트가 여러 개 있습니다. 개발자는 요청이 해당 VPC 엔드포인트를 통해서만 들어올 때 버킷에 대한 액세스가 허용되도록 하는 S3 버킷 정책을 필요로 합니다. 이 요구 사항을 충족하는 솔루션은 무엇입니까?

정답은 각 엔드포인트를 포함하도록 aws:SourceVpce 조건(StringNotEquals 사용)에 모든 VPC 엔드포인트 ID를 나열하는 하나의 S3 버킷 정책을 생성하는 것입니다. S3 버킷 정책에서 aws:SourceVpce 조건을 사용하면 특정 VPC 엔드포인트를 통해서만 S3 버킷에 액세스하도록 제한할 수 있습니다. 여러 엔드포인트가 허용되어야 하는 경우, StringNotEquals 연산자와 함께 조건 블록에 모든 허용된 VPC 엔드포인트 ID를 배열로 나열하여, 해당 엔드포인트가 아닌 다른 엔드포인트로부터의 접근을 거부하도록 설정합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. 여러 S3 버킷 정책을 생성하는 것은 관리하기 어렵고, StringNotEquals 조건과 단일 VPC 엔드포인트 ID를 사용하면 다른 엔드포인트에서의 접근을 허용하게 됩니다. aws:SourceVpc는 VPC ID를 기반으로 접근을 제한하지만, 특정 VPC 엔드포인트가 아닌 VPC 전체에 대한 접근을 제어하므로 요구 사항에 부합하지 않습니다. vpce와 같은 와일드카드는 aws:SourceVpce 조건에서 지원되지 않습니다.