Firma uruchamia mikrousługi na instancjach EC2 w wielu Strefach Dostępności za ALB. Nowe API REST zostało zbudowane w Amazon API Gateway. Niektóre starsze mikrousługi działające na EC2 muszą wywoływać nowe API, ale firma wymaga, aby API nie było wystawione na publiczny internet i aby ruch nie przechodził przez publiczny internet. Co powinien zrobić architekt rozwiązań, aby spełnić te wymagania?

Poprawna odpowiedź spełnia wszystkie wymagania: utworzenie interfejsowego punktu końcowego VPC dla API Gateway (VPC endpoint) zapewnia, że ruch pozostaje w sieci prywatnej AWS i nie przechodzi przez publiczny internet. Ustawienie typu punktu końcowego API Gateway na Private dodatkowo gwarantuje, że API jest dostępne tylko z poziomu VPC. Polityka punktu końcowego i polityka zasobów API ograniczają dostęp do określonego API, zwiększając bezpieczeństwo. Pozostałe opcje są nieprawidłowe: Połączenie Site-to-Site VPN jest przeznaczone do łączenia sieci lokalnych z AWS, a nie do komunikacji wewnątrz AWS między VPC a usługą AWS. Uwierzytelnianie IAM jest dobre dla bezpieczeństwa, ale przeniesienie API Gateway do nowego VPC i użycie Transit Gateway nie rozwiązuje problemu wystawienia na publiczny internet ani ruchu przez publiczny internet w kontekście dostępu z EC2 w tej samej VPC. AWS Global Accelerator jest usługą poprawiającą wydajność i dostępność poprzez kierowanie ruchu przez globalną sieć AWS, ale nadal wykorzystuje publiczny internet i nie zapewnia prywatnego dostępu do API Gateway z poziomu VPC.