Cómo Habilitar el Acceso Seguro y Rentable de una Instancia EC2 en Subred Privada a S3

Pregunta

Una instancia EC2 en la subred privada necesita acceso al depósito S3 ubicado en la misma región que la instancia EC2.

La instancia EC2 necesita cargar y descargar archivos más grandes al depósito S3 con frecuencia. Como arquitecto de soluciones de AWS, ¿qué solución rápida y rentable sugeriría a sus clientes? Debe tener en cuenta que las instancias EC2 están presentes en la subred privada y que los clientes no quieren que sus datos estén expuestos a través de Internet.

Respuestas

A. Coloque el depósito de S3 en otra subred pública de la misma región y cree una interconexión de VPC con esta subred privada donde se encuentra la instancia EC2. El tráfico para cargar y descargar archivos pasará por la red privada segura de Amazon.

B. Cree un rol de IAM que tenga acceso al servicio S3 y asígnelo a la instancia EC2.

C. Cree un punto de enlace de la VPC para S3, use sus tablas de rutas para controlar qué instancias pueden acceder a los recursos en Amazon S3 a una instancia de Amazon EC2 en una subred privada de la VPC que usará Amazon SES. ¿Cuál es la configuración más efectiva para implementar?">través del punto de enlace. El tráfico de carga y descarga de archivos pasará por la red privada de Amazon.

D. Una subred privada siempre puede acceder al depósito/servicio de S3 a través de NAT Gateways o instancias de NAT, por lo que no es necesario realizar una configuración adicional.

Respuesta Correcta

A.BCD

Respuesta correcta: c.

La opción A es incorrecta porque el servicio de S3 es específico de la región, no específico de AZ, y la declaración habla de colocar el depósito de S3 en la subred pública.

La opción B es incorrecta porque el punto de enlace de la VPC tiene una política que controla el uso del punto de enlace para acceder a los recursos de Amazon S3.

La política predeterminada permite el acceso de cualquier usuario o servicio dentro de la VPC, utilizando credenciales de cualquier cuenta de AWS a cualquier recurso de Amazon S3.

La opción C es correcta.

Puede ser útil acceder a los servicios de S3 en la misma región para la instancia EC2.

Puede crear un punto de enlace de la VPC y actualizar la entrada de ruta de la tabla de rutas asociada con la subred privada.

Esta es una solución rápida y rentable, ya que utilizará la propia red privada de Amazon.

Por lo tanto, no expondrá los datos a través de Internet.

La opción D es incorrecta ya que ciertamente no es una configuración predeterminada a menos que creemos una puerta de enlace NAT o una instancia.

Incluso si están allí, es una solución costosa y expone los datos a través de Internet.

Referencias:

https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-s3.html

https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html