Firma uruchamia aplikację w prywatnej podsieci za Application Load Balancerem (ALB) w VPC. VPC posiada bramę NAT (NAT gateway) i bramę internetową (internet gateway). Aplikacja wywołuje API Amazon S3 w celu przechowywania obiektów. Polityka bezpieczeństwa wymaga, aby ruch z aplikacji nie przechodził przez internet. Które rozwiązanie spełnia te wymagania w NAJBARDZIEJ ekonomiczny sposób?

Poprawna odpowiedź to skonfigurowanie punktu końcowego bramy S3 (S3 gateway endpoint) i zaktualizowanie tabeli routingu VPC. Punkty końcowe bramy S3 zapewniają prywatne połączenie z S3 z poziomu VPC, bez przechodzenia przez bramę internetową lub bramę NAT, co spełnia wymóg bezpieczeństwa. Jest to również najbardziej ekonomiczne rozwiązanie, ponieważ punkty końcowe bramy S3 są bezpłatne. Pozostałe opcje są nieprawidłowe: Punkt końcowy interfejsu S3 (S3 interface endpoint) również zapewnia prywatne połączenie, ale jest droższy, ponieważ generuje koszty za godzinę i za przetwarzane dane. Konfigurowanie polityki zasobnika S3 (S3 bucket policy) w celu zezwolenia na ruch z adresu Elastic IP bramy NAT nie spełnia wymogu, aby ruch nie przechodził przez internet, ponieważ brama NAT używa bramy internetowej. Tworzenie drugiej bramy NAT jest niepotrzebne, kosztowne i nadal kierowałoby ruch przez internet.