Компания должна переместить данные из инстанса Amazon EC2 в бакет Amazon S3 без маршрутизации каких-либо вызовов API или данных через публичные интернет-маршруты. Только инстансу EC2 должно быть разрешено загружать данные в бакет S3. Какое решение соответствует этим требованиям?

Правильный ответ — создание интерфейсной конечной точки VPC для Amazon S3. Интерфейсные конечные точки (PrivateLink) позволяют инстансам EC2 получать доступ к сервисам AWS, таким как S3, через частные IP-адреса в VPC, без прохождения через публичный интернет. Это соответствует требованию не маршрутизировать вызовы API или данные через публичные интернет-маршруты. Политика ресурсов S3, прикрепленная к бакету, позволяет ограничить доступ только для конкретной роли IAM инстанса EC2, обеспечивая необходимый контроль доступа. Шлюзовая конечная точка VPC для Amazon S3 (неправильный ответ) также позволяет частный доступ, но не поддерживает доступ из других VPC или из локальной сети через VPN/Direct Connect, и не является самым гибким решением для этого сценария. Кроме того, к шлюзовым конечным точкам не прикрепляются группы безопасности. Использование nslookup или файла ip-ranges.json (неправильные ответы) для получения IP-адресов и создания маршрутов не является рекомендуемым или масштабируемым способом обеспечения частного доступа к сервисам AWS. IP-адреса сервисов могут меняться, и такой подход не обеспечивает нативную интеграцию и безопасность, предлагаемую конечными точками VPC.