Een bedrijf slaat IoT-gegevens op in een Amazon S3 data lake. Data scientists voeren analyses uit op EC2-instances in publieke subnets van een VPC in een ander AWS-account; deze EC2-instances hebben al een IAM-rol die S3-toegang toestaat. Het bedrijfsbeleid vereist dat alleen geautoriseerde netwerken toegang hebben tot IoT-gegevens. Welke combinatie van stappen moet een solutions architect implementeren om aan deze vereisten te voldoen? (Kies twee.)

Om de toegang tot de IoT-gegevens te beperken tot geautoriseerde netwerken en tegelijkertijd data scientists in een ander account toegang te geven, zijn S3 Access Points en een restrictief bucketbeleid de juiste oplossing. Het maken van een S3 Access Point in het AWS-account van de data scientists dat verwijst naar het data lake (de S3-bucket) maakt het mogelijk om specifieke netwerktoegang te configureren voor dit toegangspunt. Vervolgens zorgt het toevoegen van een S3 bucket policy die s3:GetObject alleen toestaat wanneer de s3:DataAccessPointArn condition key value een geldige Access Point ARN is, ervoor dat toegang alleen via dit geautoriseerde Access Point kan plaatsvinden. Een gateway VPC endpoint is niet voldoende omdat het alleen de connectiviteit binnen de VPC regelt, maar geen netwerkgebaseerde toegangscontrole op S3-niveau afdwingt. Het bijwerken van de EC2-instancerol zou de EC2-instances beperken, maar niet de S3-bucket zelf beveiligen tegen andere toegangspogingen. Het wijzigen van de VPC-routetabel is niet relevant voor het afdwingen van toegangscontrole op S3-niveau.