某公司在 VPC 的私有子網路中，透過 Application Load Balancer (ALB) 執行應用程式。該 VPC 具有 NAT gateway 和 internet gateway。此應用程式會呼叫 Amazon S3 API 來儲存物件。安全政策要求來自應用程式的流量不得經由網際網路。哪種解決方案能以最低成本符合這些要求？

正確答案是設定 S3 gateway endpoint 並更新 VPC 路由表。S3 gateway endpoint 允許私有子網路中的資源透過 AWS 內部網路直接存取 S3，無需經過網際網路，符合安全政策要求。Gateway endpoint 不會產生額外費用，是成本最低的解決方案。 設定 S3 interface endpoint 雖然也能達成目的，但 interface endpoint 會產生按小時和資料處理量計費的費用，成本較高。建立允許輸出流量至 S3 的安全群組是必要的，但單獨設定安全群組無法確保流量不經由網際網路。 設定 S3 儲存貯體政策以允許來自 NAT gateway 的 Elastic IP address 的流量，這表示流量仍會經過 NAT gateway 和網際網路，不符合安全政策要求。 在部署舊版應用程式的相同子網路中建立第二個 NAT gateway 並更新路由表，這不僅會增加 NAT gateway 的成本，且流量仍會經過網際網路，不符合安全政策要求。