ある企業は、VPC内のEC2インスタンスからAmazon S3に対して大量のデータアクセスを行っています。ネットワークエンジニアは、このS3トラフィックがパブリックインターネットを経由しないように、VPCにS3用のゲートウェイエンドポイントを作成しました。 さらに、オンプレミスのアプリケーションからもAWS Direct Connectを使用してこのS3バケットにプライベートにアクセスしたいと考えています。このアーキテクチャの要件に対する正しい評価はどれですか。
Amazon S3やDynamoDB向けの「ゲートウェイエンドポイント」は、VPCのルートテーブル上のターゲットとしてプレフィックスリストを使用する仕組みであり、VPC内部（EC2インスタンスなど）から発生したトラフィックのみをルーティングします。つまり、AWS Direct ConnectやVPNを介してオンプレミスネットワークからVPCに到達したトラフィックを、さらにゲートウェイエンドポイントに転送する「推移的ルーティング（Transitive Routing）」はサポートされていません。オンプレミス環境から専用線を介してS3にプライベートアクセスを実現するためには、プライベートIPアドレスを持ちVPC内にENIを生成する「インターフェイスエンドポイント（AWS PrivateLink for S3）」を利用し、そのプライベートIPに向けてオンプレミスからルーティングする必要があります。 選択肢Bのゲートウェイエンドポイントはプレフィックスリスト（論理的なルーターターゲット）であり固定のIPアドレスを持ちません。そのためオンプレミスルーターからスタティックルートを追加してもゲートウェイエンドポイントには到達できません。 選択肢CのDirect ConnectゲートウェイとS3ゲートウェイエンドポイント間の「双方向ルーティングプロパゲーション」という機能は存在せず、ゲートウェイエンドポイントはVPCルートテーブル上にのみ追加可能な仕組みです。ルートテーブル操作で推移的ルーティングを実現することもできません。 選択肢DのDirect ConnectのパブリックVIF（Public VIF）を利用してS3のパブリックエンドポイントにアクセスする方法は存在しますが、「NATゲートウェイ経由でエンドポイントに接続する」という構成は技術的に不正確です。パブリックVIFはS3のパブリックエンドポイントに直接到達するものであり、NATゲートウェイを経由する必要はありません。