Een multi-accountomgeving heeft één account per microservice. Elke microservice draait in zijn eigen VPC met EC2-instanties achter een NLB. Een shared services-account zal een API Gateway HTTP API hosten om microservices privé te ontsluiten. Toegang moet privé zijn (geen publieke endpoints) en het bedrijf moet kunnen bepalen welke interne entiteiten verbinding kunnen maken. Het ontwerp moet het later toevoegen van meer microservices mogelijk maken. Wat is de MEEST veilige oplossing die aan deze vereisten voldoet?

De correcte optie is de meest veilige en schaalbare oplossing. Door een VPC endpoint service (AWS PrivateLink) te gebruiken in elk microservice-account, wordt privéconnectiviteit tot stand gebracht tussen het shared services-account en de microservices, zonder dat verkeer het publieke internet hoeft te verlaten. De API Gateway HTTP API integreert met een ALB via een VPC link, wat zorgt voor een private verbinding. De ALB stuurt vervolgens verkeer naar de PrivateLink endpoints, die op hun beurt de NLB's in de microservice-VPC's bereiken. Dit voldoet aan de vereisten voor privétoegang en controle, en maakt het eenvoudig om nieuwe microservices toe te voegen door simpelweg nieuwe PrivateLink endpoints te configureren. De andere opties zijn minder veilig of schaalbaar. Opties die een Transit Gateway gebruiken om alle VPC's te verbinden, creëren een bredere netwerkconnectiviteit dan strikt noodzakelijk is voor de API Gateway, wat de beveiliging kan verminderen. Opties die HTTP-integratie direct naar NLB's gebruiken, missen de voordelen van PrivateLink voor privé en gecontroleerde toegang.