Een bedrijf slaat gevoelige gebruikersinformatie op in een Amazon S3-bucket. Het bedrijf wil veilige toegang bieden tot deze bucket vanuit de applicatielaag die draait op Amazon EC2-instances binnen een VPC. Welke combinatie van stappen moet een solutions architect nemen om dit te bereiken? (Kies twee.)

Het configureren van een VPC gateway endpoint voor Amazon S3 is correct omdat dit privé en veilig verkeer tussen de EC2-instances in de VPC en S3 mogelijk maakt, zonder dat het verkeer via het internet hoeft te gaan. Dit verhoogt de beveiliging en verlaagt de latentie. Het maken van een bucket policy die de toegang beperkt tot alleen de applicatielaag die in de VPC draait, is ook correct. Dit zorgt ervoor dat alleen geautoriseerde bronnen vanuit de VPC toegang hebben tot de gevoelige gegevens in de S3-bucket, wat het principe van least privilege volgt. Het openbaar maken van objecten in de S3-bucket is onjuist, omdat dit de gevoelige gebruikersinformatie blootstelt aan ongeautoriseerde toegang. Het aanmaken van een IAM user met een S3 access policy en het kopiëren van IAM credentials naar de EC2 instance is onjuist, omdat dit een onveilige methode is voor credential management; IAM roles for EC2 instances zijn de aanbevolen en veiligere aanpak. Het aanmaken van een NAT instance en deze gebruiken voor toegang tot S3 is onjuist, omdat een NAT instance primair bedoeld is voor uitgaande internettoegang vanuit private subnets, en niet voor directe, veilige toegang tot S3 binnen AWS; een VPC endpoint is hiervoor de juiste oplossing.