Een medisch archiefbedrijf draait een applicatie op Amazon EC2-instances in publieke subnets die bestanden verwerkt die zijn opgeslagen in Amazon S3. De EC2-instances hebben toegang tot Amazon S3 via het internet en hebben geen andere netwerktoegang nodig. Een nieuwe vereiste stelt dat netwerkverkeer voor bestandsoverdracht een private route moet gebruiken en niet via het internet mag lopen. Welke wijziging in de netwerkarchitectuur voldoet aan deze vereiste?

De juiste oplossing is het verplaatsen van de EC2-instances naar private subnets en het aanmaken van een VPC endpoint voor Amazon S3. Een VPC endpoint (Gateway Endpoint) biedt een privéverbinding van uw VPC naar S3, waardoor verkeer niet via het internet hoeft te lopen. Dit voldoet aan de vereiste voor een private route. Een NAT gateway is bedoeld om instances in private subnets toegang te geven tot het internet, niet om internetverkeer te vermijden voor AWS-services. Het configureren van security groups beperkt alleen het verkeer, maar verandert de routering niet van publiek naar privé. Het verwijderen van de internet gateway en het opzetten van Direct Connect is een te drastische en dure oplossing voor dit specifieke probleem, en Direct Connect is primair voor verbindingen met on-premises netwerken, niet voor het privatiseren van verkeer binnen AWS.