Een bedrijf moet gegevens verplaatsen van een Amazon EC2-instance naar een Amazon S3-bucket zonder API-aanroepen of gegevens via openbare internetroutes te routeren. Alleen de EC2-instance mag gegevens uploaden naar de S3-bucket. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is het aanmaken van een interface VPC endpoint voor Amazon S3 in hetzelfde subnet als de EC2-instance en het koppelen van een resource policy aan de S3-bucket. Een interface VPC endpoint (aangedreven door AWS PrivateLink) biedt privéconnectiviteit naar S3 vanuit de VPC, zonder verkeer via het openbare internet te routeren. Dit voldoet aan de vereiste om geen openbare internetroutes te gebruiken. Het resource policy op de S3-bucket zorgt ervoor dat alleen de specifieke IAM-rol van de EC2-instance toegang heeft, wat voldoet aan de toegangsbeperking. Een gateway VPC endpoint is niet correct omdat dit geen privé-IP-adressen toewijst in uw subnetten en geen bidirectionele connectiviteit biedt zoals een interface endpoint. Het zou ook geen API-aanroepen vermijden, alleen het verkeer binnen AWS houden. De opties met nslookup of ip-ranges.json zijn onjuist omdat deze methoden niet zorgen voor privéconnectiviteit en het verkeer nog steeds via het openbare internet kan gaan, of op zijn minst via openbare AWS-routes. Bovendien zijn deze methoden niet de standaard of veilige manier om privétoegang tot S3 te configureren.