Een bedrijf draait microservices op EC2-instances in meerdere Availability Zones achter een ALB. Er is een nieuwe REST API gebouwd in Amazon API Gateway. Sommige legacy microservices die op EC2 draaien, moeten de nieuwe API aanroepen, maar het bedrijf vereist dat de API niet wordt blootgesteld aan het openbare internet en dat verkeer niet via het openbare internet loopt. Wat moet een solutions architect doen om aan deze beperkingen te voldoen?

Deze optie is correct omdat een interface VPC-endpoint (aangedreven door AWS PrivateLink) de meest directe en veilige manier is om privéconnectiviteit tussen uw VPC en API Gateway tot stand te brengen, zonder dat verkeer via het openbare internet hoeft te gaan. Het instellen van het API Gateway-endpointtype op 'Private' en het toepassen van een resourcebeleid dat toegang beperkt tot het specifieke VPC-endpoint, garandeert dat de API niet toegankelijk is vanaf het openbare internet. De andere opties zijn onjuist: AWS Site-to-Site VPN is bedoeld voor connectiviteit tussen uw on-premises netwerk en AWS, niet voor service-naar-service-connectiviteit binnen AWS. IAM-authenticatie is een goede beveiligingspraktijk, maar lost het probleem van blootstelling aan het openbare internet niet op. Het verplaatsen van API Gateway naar een nieuwe VPC en het gebruik van een transit gateway is onnodig complex en lost het onderliggende probleem van privétoegang niet op. AWS Global Accelerator is ontworpen om de prestaties van applicaties te verbeteren door verkeer via het AWS-netwerk te leiden, maar het isoleert de API niet van het openbare internet.