Een externe SaaS-provider draait zijn service binnen een VPC op AWS en stelt de functionaliteit beschikbaar via API's. Uw bedrijf zal die API's aanroepen vanuit resources binnen uw VPC. Bedrijfsbeleid vereist privéconnectiviteit die niet via het openbare internet verloopt, en resources in uw VPC mogen niet toegankelijk zijn van buiten uw VPC. Alle toegang moet het least privilege-principe volgen. Welke oplossing voldoet aan deze beperkingen?

De correcte optie is het aanmaken van een AWS PrivateLink interface VPC endpoint. Dit biedt privéconnectiviteit tussen uw VPC en de SaaS-provider via het AWS-netwerk, zonder blootstelling aan het openbare internet. De security group op het interface endpoint zorgt voor least privilege door alleen geautoriseerde clients toegang te geven. Een Site-to-Site VPN is een optie voor privéconnectiviteit, maar is complexer om te beheren en te schalen voor API-toegang tussen twee AWS VPC's. VPC peering zou privéconnectiviteit bieden, maar vereist dat de SaaS-provider zijn VPC openstelt voor uw VPC, wat een breder toegangsprofiel creëert dan nodig en mogelijk in strijd is met het least privilege-principe, aangezien alle resources in de gepareerde VPC's elkaar kunnen bereiken tenzij verder beperkt. De laatste optie is onjuist omdat u een endpoint gebruikt dat door de SaaS-provider wordt aangeboden, niet zelf een endpoint service creëert voor de provider.