Een bedrijf heeft twee AWS-accounts, Account A en Account B. Elk account heeft een VPC. Een applicatie in de VPC in Account A moet schrijven naar een Amazon S3-bucket in Account B. De applicatie in Account A heeft al toestemming om naar de bucket te schrijven. Zowel de applicatie als de S3-bucket bevinden zich in dezelfde AWS-regio. Het bedrijf mag geen verkeer via het openbare internet verzenden. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het maken van een gateway VPC endpoint voor Amazon S3 in Account A en het bijwerken van de VPC-routetabel. Een gateway VPC endpoint biedt een privéverbinding van uw VPC naar Amazon S3, zonder dat verkeer via het openbare internet hoeft te gaan. Dit voldoet aan de vereiste om geen verkeer via het openbare internet te verzenden. De S3-bucket bevindt zich in Account B, maar S3-endpoints zijn regionaal en bieden toegang tot alle S3-buckets in die regio, ongeacht het account. Een transit gateway is niet nodig omdat S3-endpoints direct vanuit elke VPC in dezelfde regio kunnen worden benaderd. Een software VPN-appliance zou onnodige complexiteit en kosten met zich meebrengen en is niet de meest efficiënte of veilige methode voor toegang tot S3 binnen AWS. VPC peering is niet nodig voor toegang tot S3, aangezien S3 een service is die via een endpoint kan worden benaderd, niet via een specifieke VPC.