Firma zbudowała interfejsy API przy użyciu Amazon API Gateway z regionalnymi punktami końcowymi. Te interfejsy API wywołują funkcje AWS Lambda i używają uwierzytelniania API Gateway. Przegląd wykazał, że podzbiór interfejsów API nie może być publicznie dostępny i powinien być wywoływany tylko z poziomu VPC. Wszystkie wywołania muszą pochodzić od uwierzytelnionych użytkowników. Które rozwiązanie osiągnie to przy najmniejszym wysiłku?

Poprawna odpowiedź jest najmniej pracochłonnym rozwiązaniem, ponieważ wykorzystuje natywne funkcje AWS do ograniczenia dostępu do API Gateway. Zmiana typu punktu końcowego API Gateway na Private i utworzenie interfejsowego punktu końcowego VPC (AWS PrivateLink) w VPC umożliwia dostęp do API wyłącznie z poziomu VPC, bez wystawiania go na publiczny internet. Dołączenie polityki zasobów do API dodatkowo kontroluje, które podmioty w VPC mogą uzyskać dostęp. Pozostałe opcje są nieprawidłowe, ponieważ: Utworzenie ALB i grupy docelowej wskazującej na funkcję Lambda wymagałoby znacznego wysiłku w zarządzaniu infrastrukturą i nie jest typowym sposobem integracji z Lambda. Usunięcie wpisu DNS API Gateway i użycie CNAME nie ogranicza dostępu do VPC; API nadal byłoby publicznie dostępne, chyba że zastosowano by inne mechanizmy. Wdrożenie funkcji Lambda wewnątrz VPC, udostępnienie instancji EC2 z Apache i użycie wewnętrznego CNAME to rozwiązanie bardzo złożone, wymagające zarządzania serwerem i niepotrzebnie zwiększające powierzchnię ataku.