Сервис обработки изображений работает в VPC в двух зонах доступности (Availability Zones). Каждая AZ имеет публичную и приватную подсети. Инстансы EC2 работают в приватных подсетях и находятся за ALB в публичных подсетях. Сервису необходим доступ в интернет, и он использует два NAT-шлюза. Изображения хранятся в Amazon S3, и инстансы EC2 ежедневно извлекают примерно 1 ТБ данных из корзины S3. Компания придерживается высоких стандартов безопасности. Архитектор решений должен минимизировать затраты, не ослабляя безопасность и не увеличивая операционные издержки. Какое решение соответствует этим требованиям?

Создание S3 gateway VPC endpoint позволяет инстансам EC2 в приватных подсетях получать доступ к S3 напрямую через сеть AWS, без прохождения через NAT-шлюзы и интернет. Это снижает затраты на передачу данных (так как трафик S3 через VPC endpoint бесплатен) и повышает безопасность, поскольку трафик остается внутри сети AWS. Политика конечной точки гарантирует, что доступ разрешен только к необходимым ресурсам S3. Замена NAT-шлюзов на NAT instances увеличит операционные издержки и не решит проблему затрат на передачу данных. Перемещение EC2 в публичные подсети нарушит высокие стандарты безопасности. Использование Amazon EFS для хранения изображений неэффективно для такого объема данных и не решит проблему доступа к S3, где уже хранятся изображения.