Een image-processing service draait in een VPC verspreid over twee Availability Zones. Elke AZ heeft een publiek en een privé subnet. EC2-instances draaien in de privé subnets en worden geflankeerd door een ALB in de publieke subnets. De service heeft internettoegang nodig en gebruikt twee NAT-gateways. Afbeeldingen worden opgeslagen in Amazon S3 en de EC2-instances halen dagelijks ongeveer 1 TB aan gegevens op uit de S3-bucket. Het bedrijf hecht veel waarde aan een hoge beveiligingshouding. De solutions architect moet de kosten minimaliseren zonder de beveiliging te verzwakken of de operationele overhead te verhogen. Welke oplossing voldoet aan de vereisten?

De correcte oplossing is het aanmaken van een S3 gateway VPC endpoint. Dit stelt de EC2-instances in staat om privé en veilig via het AWS-netwerk met S3 te communiceren, zonder internet-gateways of NAT-gateways te gebruiken voor S3-verkeer. Dit minimaliseert de kosten aanzienlijk, aangezien de 1 TB dagelijkse gegevensoverdracht via NAT-gateways duur zou zijn, en verhoogt de beveiliging door het verkeer binnen de AWS-infrastructuur te houden. Een endpoint policy biedt granulaire controle over de toegang. Het vervangen van NAT-gateways door NAT-instances verhoogt de operationele overhead en biedt geen kostenvoordeel voor S3-verkeer. Het verplaatsen van EC2-instances naar publieke subnets vermindert de beveiliging drastisch. Het gebruik van Amazon EFS voor afbeeldingen is niet kosteneffectief voor 1 TB aan dagelijkse gegevensoverdracht en is niet de primaire opslagoplossing voor dit scenario.