Компания использует функции AWS Lambda для автоматизации реагирования на инциденты для инстансов Amazon EC2. Функции собирают артефакты (например, ID инстанса и конфигурацию группы безопасности) и записывают сводку в бакет Amazon S3. VPC компании имеет публичные подсети с интернет-шлюзом и частные подсети с NAT-шлюзом. Весь трафик S3, связанный с реагированием на инциденты, должен оставаться в сети AWS и не должен проходить через публичный интернет. Какое решение соответствует этим требованиям?

Правильный ответ — развернуть функции Lambda в частных подсетях и создать S3 gateway VPC endpoint. Размещение функций Lambda в частных подсетях позволяет им работать внутри VPC, а S3 gateway VPC endpoint обеспечивает прямой и безопасный доступ к Amazon S3 из VPC без прохождения через публичный интернет. Это соответствует требованию о сохранении всего трафика S3 в сети AWS. Развертывание функций Lambda в частных подсетях и маршрутизация трафика S3 через NAT-шлюз не подходит, так как NAT-шлюз направляет трафик в публичный интернет, что нарушает требование. Размещение бакета S3 и функций Lambda в одной частной подсети с использованием публичной конечной точки S3 также не соответствует, поскольку публичная конечная точка требует доступа через интернет. Использование Amazon SQS для доставки данных в S3 не решает проблему маршрутизации трафика S3 внутри сети AWS.