Een bedrijf heeft 20 serviceteams, elk in een eigen AWS-account en elke VPC gebruikt 192.168.0.0/22. Services draaien op EC2-instances achter ALB's en communiceren momenteel via het openbare internet. Beveiliging vereist nu dat al het cross-servicetraffic HTTPS over een privénetwerk gebruikt zonder via het internet te routeren. De oplossing moet de wijzigingen die elk team moet aanbrengen minimaliseren. Welke aanpak voldoet aan deze vereisten?

De correcte optie gebruikt AWS PrivateLink, wat de meest geschikte oplossing is voor veilige, privécommunicatie tussen services in verschillende AWS-accounts en VPC's zonder het internet te gebruiken. Door een Network Load Balancer (NLB) in elke service-VPC te plaatsen en deze via PrivateLink te exposen, kunnen andere accounts VPC-endpoints creëren om privé toegang te krijgen tot de services. Dit minimaliseert wijzigingen voor teams, omdat ze alleen de DNS-namen van de VPC-endpoints hoeven te gebruiken. De andere opties zijn minder optimaal: Het aanmaken van een nieuw account met gedeelde subnets en nieuwe NLB's/EC2's vereist aanzienlijke herconfiguratie en migratie voor elk team. VPC-peering tussen 20 VPC's zou resulteren in een complex en moeilijk te beheren mesh-netwerk (190 peering-verbindingen), en schaalt niet goed. Een gedeelde Transit Gateway is een goede optie voor centrale netwerkconnectiviteit, maar PrivateLink is specifiek ontworpen voor service-naar-service communicatie over privénetwerken, wat beter aansluit bij de vereisten om de wijzigingen voor teams te minimaliseren en het gebruik van DNS-namen van endpoints te faciliteren.