Firma przechowuje dane IoT w jeziorze danych Amazon S3. Analitycy danych uruchamiają analizy na instancjach EC2 w publicznych podsieciach VPC na innym koncie AWS; te instancje EC2 mają już rolę IAM zezwalającą na dostęp do S3. Polityka firmy wymaga, aby tylko autoryzowane sieci miały dostęp do danych IoT. Jaką kombinację kroków powinien wdrożyć architekt rozwiązań, aby spełnić te wymagania? (Wybierz dwie.)

Aby umożliwić dostęp do danych IoT z innego konta AWS i jednocześnie egzekwować politykę dostępu tylko z autoryzowanych sieci, należy użyć punktów dostępowych S3. Utworzenie punktu dostępowego S3 na koncie analityków danych, który odwołuje się do jeziora danych, pozwala na zdefiniowanie specyficznych uprawnień i kontroli sieciowych dla tego punktu dostępowego. Następnie, dodanie polityki zasobnika S3, która zezwala na s3:GetObject tylko wtedy, gdy żądanie pochodzi z określonego punktu dostępowego (używając klucza warunku s3:DataAccessPointArn), gwarantuje, że dostęp do danych będzie możliwy wyłącznie poprzez ten autoryzowany punkt dostępowy. Utworzenie bramowego punktu końcowego VPC dla Amazon S3 jest ogólnym sposobem na dostęp do S3 z VPC, ale nie zapewnia granularnej kontroli dostępu do konkretnych danych przez autoryzowane sieci w kontekście wielu kont. Modyfikacja tabeli routingu VPC nie jest bezpośrednio związana z kontrolą dostępu do S3 na poziomie zasobnika czy punktu dostępowego. Aktualizacja roli instancji EC2, aby wymagała s3:DataAccessPointArn, jest dobrym krokiem, ale sama w sobie nie wystarczy, ponieważ polityka zasobnika musi również egzekwować ten warunek.