Een bedrijf draait een applicatie in een privé-subnet achter een Application Load Balancer (ALB) in een VPC. De VPC heeft een NAT-gateway en een internetgateway. De applicatie roept de Amazon S3 API aan om objecten op te slaan. Het beveiligingsbeleid vereist dat verkeer van de applicatie het internet niet mag passeren. Welke oplossing voldoet HET MEEST kosteneffectief aan deze vereisten?

Een S3 gateway endpoint is de meest kosteneffectieve oplossing omdat het gratis is en privéconnectiviteit biedt van uw VPC naar S3 zonder dat verkeer via het internet hoeft te gaan. Het werkt door een route in de VPC-routetabel te creëren die verkeer voor S3 direct naar het gateway endpoint stuurt. Een S3 interface endpoint (PrivateLink) is ook een optie voor privéconnectiviteit, maar is duurder omdat er per uur en per gigabyte aan verwerkte data kosten aan verbonden zijn. Het configureren van een S3 bucket policy om verkeer toe te staan vanaf het Elastic IP-adres van de NAT-gateway zou betekenen dat het verkeer nog steeds via de NAT-gateway en het internet gaat, wat in strijd is met de beveiligingsvereisten. Het aanmaken van een tweede NAT-gateway lost het probleem van internettoegang voor S3-verkeer niet op en zou extra kosten met zich meebrengen.