Компания настроила шлюзовую конечную точку VPC для Amazon S3 в VPC. Только одна подсеть в VPC использует эту конечную точку, маршрутизируя через нее трафик S3. В VPC также есть интернет-шлюз. Инженер по безопасности пытается получить объект из корзины S3 с экземпляра Amazon EC2 в этой подсети, используя учетные данные профиля экземпляра, но запрос завершается неудачей. Разрешения профиля экземпляра, политика корзины S3, группа безопасности и списки ACL сети были проверены и признаны правильными. Что еще должен проверить инженер по безопасности, чтобы определить, почему запрос завершается неудачей?

Правильный ответ — «Убедитесь, что политика конечной точки VPC разрешает доступ к Amazon S3». Хотя политика корзины S3 была проверена, конечные точки шлюза VPC также имеют связанные политики, которые контролируют доступ к S3. Если политика конечной точки VPC не разрешает доступ из подсети или к конкретной корзине S3, запросы будут отклонены, даже если политика корзины S3 разрешает доступ. Остальные варианты неверны: Группа безопасности экземпляра EC2 не имеет неявного правила запрета входящего трафика для Amazon S3. Группы безопасности контролируют входящий и исходящий трафик для экземпляров, но не имеют неявных правил запрета для конкретных сервисов. Группа безопасности конечной точки VPC не имеет неявного правила запрета входящего трафика от экземпляра EC2. Конечные точки шлюза не используют группы безопасности. Интернет-шлюз разрешает трафик к Amazon S3. Если используется конечная точка шлюза VPC, трафик к S3 маршрутизируется через нее, а не через интернет-шлюз.