Компания запускает микросервисы на инстансах EC2 в нескольких Availability Zones за ALB. Новый REST API был создан в Amazon API Gateway. Некоторые устаревшие микросервисы, работающие на EC2, должны вызывать новый API, но компания требует, чтобы API не был доступен из публичного интернета и чтобы трафик не проходил через публичный интернет. Что должен сделать архитектор решений, чтобы удовлетворить эти ограничения?

Правильный ответ обеспечивает приватное подключение к API Gateway из EC2 без использования публичного интернета. Создание интерфейсной конечной точки VPC для API Gateway (через AWS PrivateLink) позволяет трафику оставаться внутри сети AWS. Политика конечной точки и политика ресурсов API Gateway ограничивают доступ только из этой конечной точки VPC, а установка типа конечной точки API Gateway на Private гарантирует, что API не будет доступен из публичного интернета. Неправильные варианты: AWS Site-to-Site VPN используется для подключения локальных сетей к AWS, а не для подключения сервисов внутри AWS. Требование аутентификации IAM не решает проблему приватности трафика и доступности из публичного интернета. Перемещение API Gateway в новый VPC и использование транзитного шлюза усложняет архитектуру, не обеспечивая приватность доступа к API Gateway напрямую из EC2 в том же VPC. AWS Global Accelerator предназначен для повышения производительности и доступности через глобальную сеть AWS, но не для обеспечения приватного доступа к API Gateway, исключающего публичный интернет.