Een bedrijf gebruikt AWS Lambda-functies om incidentrespons voor Amazon EC2-instances te automatiseren. De functies verzamelen artefacten (bijvoorbeeld instance ID en security group configuratie) en schrijven een samenvatting naar een Amazon S3-bucket. De VPC van het bedrijf heeft publieke subnets met een internetgateway en private subnets met een NAT-gateway. Al het S3-verkeer met betrekking tot incidentrespons moet binnen het AWS-netwerk blijven en mag niet via het publieke internet gaan. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is om de Lambda-functies in private subnets te plaatsen en een S3 gateway VPC endpoint te configureren. Dit zorgt ervoor dat het verkeer van de Lambda-functies naar Amazon S3 binnen het AWS-netwerk blijft en niet via het publieke internet gaat, wat voldoet aan de beveiligingsvereiste. De eerste optie is onjuist omdat verkeer via een NAT-gateway nog steeds het publieke internet gebruikt, wat in strijd is met de vereiste. De derde optie is onjuist omdat het gebruik van het standaard publieke S3-endpoint betekent dat verkeer via het internet gaat. De vierde optie is onnodig complex en lost het probleem van privétoegang tot S3 niet op; SQS stuurt nog steeds data naar S3 en zou hetzelfde connectiviteitsprobleem hebben.