Компания запускает приложение в частной подсети за Application Load Balancer (ALB) в VPC. В VPC есть NAT gateway и internet gateway. Приложение вызывает Amazon S3 API для хранения объектов. Политика безопасности требует, чтобы трафик от приложения не проходил через интернет. Какое решение наиболее экономично соответствует этим требованиям?

Наиболее экономичным решением является настройка S3 gateway endpoint и обновление таблицы маршрутизации VPC. Gateway endpoint позволяет трафику из вашей VPC напрямую обращаться к Amazon S3 без прохождения через интернет или NAT gateway, что соответствует требованию безопасности не пропускать трафик через интернет. Это также экономично, поскольку за использование gateway endpoint не взимается дополнительная плата. Настройка S3 interface endpoint (VPC Endpoint) также обеспечит прямой доступ, но interface endpoints оплачиваются за час и за объем данных, что делает их менее экономичными, чем gateway endpoints для S3. Создание группы безопасности, разрешающей исходящий трафик в S3, является необходимым шагом для любого решения, но само по себе не обеспечивает прямого доступа без интернета. Настройка политики S3 bucket для разрешения трафика с Elastic IP NAT gateway не соответствует требованию безопасности, так как трафик все равно будет проходить через интернет через NAT gateway. Создание второго NAT gateway не решает проблему прохождения трафика через интернет и увеличивает затраты, так как за NAT gateway взимается плата.