Een dataset die is opgeslagen in Amazon S3 bevat PII en moet voldoen aan de volgende vereisten: deze mag alleen bereikbaar zijn vanuit een specifieke VPC en mag het openbare internet niet doorkruisen. Hoe kunt u aan deze beperkingen voldoen?

De correcte optie is het maken van een VPC endpoint en het koppelen van een S3 bucket policy die de toegang beperkt tot het gespecificeerde VPC endpoint en zijn VPC. Dit voldoet aan de vereisten omdat een VPC endpoint (type gateway) directe en privétoegang tot S3 vanuit de VPC mogelijk maakt, zonder het openbare internet te doorkruisen. De bucket policy kan vervolgens worden geconfigureerd om alleen verkeer toe te staan dat afkomstig is van dit specifieke VPC endpoint en de bijbehorende VPC, waardoor PII wordt beschermd. De andere opties zijn minder geschikt: Een bucket policy die toegang verleent aan een EC2-instantie is niet voldoende, omdat dit de toegang via het openbare internet niet uitsluit. Network ACL's en security groups zijn nuttig voor netwerkverkeersfiltering binnen de VPC, maar ze garanderen op zichzelf geen privétoegang tot S3 en voorkomen niet dat verkeer het openbare internet doorkruist als er geen VPC endpoint is. Bovendien beperken ze de toegang tot de S3-bucket zelf niet op het niveau van de bucket policy.