某公司在多個可用區域的 ALB 後方，於 EC2 執行個體上運行微服務。現在，他們在 Amazon API Gateway 中建置了一個新的 REST API。有些運行在 EC2 上的舊有微服務需要呼叫這個新的 API，但公司要求這個 API 不能暴露在公共網際網路上，且流量不能經過公共網際網路。身為解決方案架構師，您應該怎麼做才能滿足這些限制？

正確答案透過建立介面 VPC 端點，將 API Gateway 設為私有，確保流量不經過公共網際網路。端點政策和 API 資源政策進一步限制只有來自指定 VPC 端點的存取，滿足了安全和網路隔離的要求。 選項一不正確，因為 Site-to-Site VPN 用於連接地端網路與 AWS VPC，而非 VPC 內部服務間的私有連線。API 金鑰僅提供驗證，不解決網路路徑問題。 選項三不正確，將 API Gateway 移至新 VPC 並使用 Transit Gateway 連接，雖然能實現私有連線，但相較於 VPC 端點，此方法更複雜且成本更高。IAM 驗證是安全措施，但與網路路徑無直接關聯。 選項四不正確，Global Accelerator 旨在優化公共網路上的流量路由，並不能將 API Gateway 設為私有，且流量仍會經過公共網際網路。