Zbiór danych przechowywany w Amazon S3 zawiera PII i musi spełniać następujące wymagania: musi być dostępny tylko z określonej sieci VPC i nie może przechodzić przez publiczny internet. Jak można spełnić te ograniczenia?

Prawidłowa odpowiedź to utworzenie punktu końcowego bramy VPC (VPC gateway endpoint) dla S3 i dołączenie polityki zasobnika S3, która ogranicza dostęp do tego konkretnego punktu końcowego VPC i jego sieci VPC. Punkty końcowe bramy VPC umożliwiają prywatne połączenie z S3 z poziomu VPC, bez przechodzenia przez publiczny internet, spełniając wymaganie dotyczące prywatności. Polityka zasobnika S3 jest niezbędna do egzekwowania ograniczenia dostępu tylko do określonego punktu końcowego VPC, co zapobiega dostępowi z innych sieci. Pozostałe opcje są nieprawidłowe: Polityka zasobnika przyznająca dostęp do punktu końcowego VPC i instancji EC2 nie jest wystarczająco restrykcyjna, ponieważ nie ogranicza dostępu do konkretnego punktu końcowego VPC. Listy kontroli dostępu do sieci (Network ACLs) działają na poziomie podsieci i nie mogą bezpośrednio ograniczać dostępu do zasobnika S3 na podstawie punktu końcowego VPC. Grupy bezpieczeństwa działają na poziomie instancji i nie mogą kontrolować dostępu do zasobnika S3, który jest usługą zarządzaną.