Bir şirket, bir VPC'de Amazon S3 için bir ağ geçidi VPC uç noktası yapılandırdı. VPC'deki yalnızca bir alt ağ, S3 trafiğini bu uç nokta üzerinden yönlendirerek kullanır. VPC'nin ayrıca bir internet ağ geçidi vardır. Bu alt ağdaki bir Amazon EC2 örneğinden, bir güvenlik mühendisi, bir S3 paketinden bir nesneyi almak için örnek profil kimlik bilgilerini kullanmaya çalışır, ancak istek başarısız olur. Örnek profil izinleri, S3 paket politikası, güvenlik grubu ve ağ ACL'leri doğru olarak doğrulanmıştır. Güvenlik mühendisi, isteğin neden başarısız olduğunu belirlemek için başka neyi kontrol etmelidir?

Doğru cevap, VPC uç nokta politikasının Amazon S3'e erişime izin verdiğini doğrulamaktır. VPC ağ geçidi uç noktaları, S3'e erişimi kontrol etmek için bir kaynak politikası kullanır. EC2 örnek profil izinleri, S3 paket politikası, güvenlik grubu ve ağ ACL'leri doğru olsa bile, uç nokta politikası gerekli izinleri içermiyorsa istek başarısız olur. EC2 örneğinin güvenlik grubunun Amazon S3 için örtük bir gelen reddetme kuralına sahip olmadığını doğrulamak yanlış bir seçenektir çünkü S3 bir ağ geçidi uç noktası üzerinden erişildiğinde, güvenlik grupları giden trafiği kontrol eder, gelen değil. VPC uç noktasının güvenlik grubunun EC2 örneğinden gelen trafiği açıkça reddetmediğini doğrulamak da yanlıştır çünkü ağ geçidi uç noktalarının ilişkili güvenlik grupları yoktur. İnternet ağ geçidinin Amazon S3'e trafiğe izin verdiğini doğrulamak da yanlıştır çünkü S3'e erişim bir VPC ağ geçidi uç noktası üzerinden yönlendirildiğinde internet ağ geçidi kullanılmaz.