Globalna firma przetwarza wrażliwe dane PII za pośrednictwem wewnętrznego portalu hostowanego w korporacyjnym centrum danych połączonym z AWS przez AWS Direct Connect. Aplikacja przechowuje dane PII w Amazon S3, a polityka firmy wymaga, aby ruch między portalem a S3 nie przechodził przez publiczny internet. Co powinien wdrożyć administrator SysOps, aby zapewnić, że ruch S3 pozostanie w prywatnych sieciach AWS?

Utworzenie interfejsowego punktu końcowego VPC (VPC Endpoint) dla Amazon S3 jest prawidłowym rozwiązaniem, ponieważ umożliwia prywatne połączenie z S3 z sieci lokalnej (przez Direct Connect) bez przechodzenia przez publiczny internet. Ruch pozostaje w sieci AWS. Wdrożenie AWS Network Firewall nie przekieruje ruchu S3 do prywatnego adresu, ponieważ firewall służy do filtrowania ruchu, a nie do zmiany jego trasy do usług AWS. Modyfikacja aplikacji w celu użycia adresowania S3 path-style zmienia tylko format URL, nie wpływa na trasowanie ruchu. Dodanie sieciowych list ACL VPC (Network ACLs) służy do kontrolowania ruchu na poziomie podsieci, a nie do przekierowywania go do wewnętrznego adresu S3.