Firma zajmująca się dokumentacją medyczną uruchamia aplikację na instancjach Amazon EC2 w publicznych podsieciach, która przetwarza pliki przechowywane w Amazon S3. Instancje EC2 uzyskują dostęp do Amazon S3 przez internet i nie wymagają żadnego innego dostępu sieciowego. Nowy wymóg nakłada, aby ruch sieciowy związany z transferem plików korzystał z prywatnej trasy i nie przechodził przez internet. Która zmiana architektury sieci spełnia ten wymóg?

Prawidłowa odpowiedź to przeniesienie instancji EC2 do prywatnych podsieci i utworzenie punktu końcowego VPC (VPC endpoint) dla Amazon S3. VPC endpoint dla S3 (typu Gateway) umożliwia instancjom EC2 w prywatnych podsieciach dostęp do S3 bez przechodzenia przez internet, zapewniając prywatną trasę wymaganą przez zadanie. Utworzenie bramy NAT nie spełnia wymogu prywatnej trasy, ponieważ ruch nadal przechodziłby przez internet do S3. Konfiguracja grupy zabezpieczeń ogranicza ruch, ale nie zmienia trasy sieciowej na prywatną. Usunięcie bramy internetowej i użycie AWS Direct Connect jest niepotrzebnie złożone i kosztowne, a Direct Connect jest przeznaczony do łączenia sieci lokalnej z AWS, a nie do prywatnego dostępu instancji EC2 do usług AWS w ramach tej samej chmury.