Q61 — AWS SAA-C03 第14章

第 61/100 题 | ← 返回第14章

Q1061.一家公司在 VPC 中的应用程序负载均衡器 (ALB) 后面的私有子网中运行应用程序.VPC 有一个 NAT 网关和一个互联网网关.该应用程序调用 Amazon S3 API 来存储对象.根据公司的安全政策，该应用程序的流量不得通过互联网传输.哪种解决方案能够最经济高效地满足这些要求?

• A. 配置 S3 接口终端节点.创建允许出站流量到 Amazon S3 的安全组.
• B. 配置 S3 网关端点.更新 VPC 路由表以使用该端点. ✓
• C. 配置 S3 存储桶策略以允许来自分配给 NAT 网关的弹性 IP 地址的流量.
• D. 在部署旧版应用程序的同一子网中创建第二个 NAT 网关.更新 VPC 路由表以使用第二个 NAT 网关.

正确答案: B. 配置 S3 网关端点.更新 VPC 路由表以使用该端点.

解析

为了确保从应用程序到 Amazon S3 的流量不会通过互联网，同时又具有成本效益，最好的解决方案是:B. 配置 S3 网关端点.更新 VPC 路由表以使用该端点.＃＃＃ 解释:\ 1. S3 网关端点:- S3 网关终端节点允许在 VPC 和 Amazon S3 之间建立私有连接，而无需互联网网关、NAT 设备、VPN 连接或 AWS Direct Connect 连接.这可确保流量保持在 AWS 网络内.\ 2. 成本效益:- 使用网关端点不会产生超出标准 S3 数据传输速率的额外费用，与设置额外的网关或 NAT 设备相比，它是一种经济高效的解决方案.\ 3. 安全合规性:- 通过使用 S3 网关端点，应用程序的流量直接路由到 S3，而无需穿过公共互联网，从而符合公司的安全政策.其他选项的评估:A. 配置 S3 接口端点:- 虽然接口端点也允许对 S3 进行私有访问，但它通常比网关端点更昂贵，尤其是对于 S3，因为它使用弹性网络接口 (ENI) 并且需要额外付费.C. 配置 S3 存储桶策略以允许来自弹性 IP 地址的流量:- 此选项不会阻止流量通过互联网;相反，它允许来自特定 IP 地址的流量.它不符合避免互联网穿越的要求.D.创建第二个 NAT 网关:- 此解决方案仍会通过互联网路由流量，因为 NAT 网关用于允许对私有子网中的资源进行出站互联网访问.运行另一个 NAT 网关还会产生额外费用.＃＃＃ 结论:选项 B 是最合适且最具成本效益的解决方案，可确保从应用程序到 Amazon S3 的流量保持在 AWS 网络内并符合安全策略.