У компании есть несколько бизнес-подразделений, каждое из которых запускает приложения в отдельных аккаунтах AWS и VPC приложений в одном регионе. Эти приложения должны потреблять данные из центральной VPC общих сервисов. Компании требуются детальные средства контроля безопасности и архитектура, которая может масштабироваться по мере подключения новых бизнес-подразделений к VPC общих сервисов. Какое решение является наиболее безопасным и масштабируемым?

Публикация сервисов конечных точек VPC через AWS PrivateLink и создание конечных точек VPC в каждой VPC приложения обеспечивает наиболее безопасное и масштабируемое решение. PrivateLink позволяет потреблять сервисы из центральной VPC общих сервисов, не открывая эту VPC для прямого доступа из VPC приложений. Это повышает безопасность, поскольку трафик остается в сети AWS и не проходит через публичный интернет, а также позволяет детально контролировать доступ к конкретным сервисам. Решение легко масштабируется, так как новые VPC приложений могут просто создавать конечные точки VPC для доступа к уже опубликованным сервисам. Создание центрального Transit Gateway с full-mesh connectivity менее безопасно, так как предоставляет более широкий сетевой доступ между VPC, чем необходимо. VPC peering между всеми VPC не масштабируется, так как количество пиринговых соединений растет квадратично с увеличением числа VPC, и не предлагает детального контроля доступа на уровне сервисов. Использование VPN-устройства из AWS Marketplace в транзитной VPC добавляет сложность управления и потенциальные узкие места производительности, а также не обеспечивает такой же уровень интеграции и безопасности, как PrivateLink.