Глобальная компания обрабатывает конфиденциальные PII через внутренний портал, размещенный в корпоративном центре обработки данных, подключенном к AWS через AWS Direct Connect. Приложение хранит PII в Amazon S3, и политика требует, чтобы трафик между порталом и S3 не проходил через публичный интернет. Что должен реализовать администратор SysOps, чтобы трафик S3 оставался в частных сетях AWS?

Создание конечной точки VPC интерфейса (interface VPC endpoint) для Amazon S3 позволяет приложению получать доступ к S3 через частную сеть AWS, не проходя через публичный интернет. Это соответствует требованию политики безопасности для PII. Приложение должно быть обновлено для использования этой конечной точки. Развертывание AWS Network Firewall не перенаправит трафик S3 на внутренний адрес; оно предназначено для фильтрации трафика. Изменение приложения для использования адресации S3 в стиле пути (path-style addressing) является методом доступа к объектам S3, но не влияет на маршрутизацию трафика через публичный или частный интернет. Добавление сетевых ACL VPC не может перенаправить трафик на внутренний адрес S3; они используются для контроля входящего и исходящего трафика на уровне подсети.