這些題目為學習目的而獨立製作，並非 AWS 官方考題、實際考題、外流題或考題庫。
SAA-003
需要從私有子網路的 EC2 執行個體存取 Amazon S3。希望避免透過網際網路通訊,也不希望產生 NAT Gateway 的成本。最為適切的組態為何?
選項
解析與正確答案
閱讀解析與正確答案（劇透：建議先自行作答）
正確答案：B. 建立 S3 Gateway VPC Endpoint,並關聯至目標子網路的路由表
解析
使用 S3 Gateway VPC Endpoint 後,即可從私有子網路透過 AWS 內部網路存取 S3,且無需 NAT Gateway 的固定費用。
各選項解析
A. 建立 NAT Gateway,並將私有子網路的路由表中的 0.0.0.0/0 指向 NAT Gateway
錯誤。會產生需求中希望避免的 NAT Gateway 成本。
B. 建立 S3 Gateway VPC Endpoint,並關聯至目標子網路的路由表
正確。針對 S3 的 Gateway VPC Endpoint 可以低成本實現私有存取。
C. 為 EC2 指派公有 IP,並以此存取 S3
錯誤。指派公有 IP 將導致透過網際網路通訊,違反需求。
D. 將 Internet Gateway 直接關聯至私有子網路
錯誤。Internet Gateway 是附加於 VPC 的,不會直接關聯至私有子網路。
實際使用情境
從私有子網路上的 EC2 存取 S3 的路徑,存在透過 NAT Gateway(經由網際網路前往公開 S3 端點)與透過 VPC Endpoint(經由 AWS 內部網路)兩種方式。S3 與 DynamoDB 提供 Gateway 型 VPC Endpoint,Gateway Endpoint 本身不會產生額外費用。NAT Gateway 則以時間單價與資料處理量計費,因此光是將 S3 流量導至 VPC Endpoint,在資料傳輸量大的組態中,即可帶來顯著的成本削減。 Gateway Endpoint 與 Interface Endpoint(以 PrivateLink 為基礎,於各可用區域配置 ENI)為不同的機制,計費方式也不同。Gateway Endpoint 僅限 S3 與 DynamoDB 兩項服務,且免費;其他多數 AWS 服務則為 Interface Endpoint(ENI 時數計費與資料處理計費)。設計時,於端點政策中設定「僅允許對特定儲存貯體的操作」的限制,是實務上的基本做法,可堵住對非預期儲存貯體的迂迴存取路徑。由於路由表設定遺漏而導致部分子網路仍透過網際網路通訊的事故也容易發生,因此需確認對象 VPC 內的所有相關路由表皆已關聯 Endpoint。 SAA-C03 中,在「希望從私有子網路以低成本存取 S3」「希望避免 NAT Gateway 的固定費用」等要求下,Gateway VPC Endpoint 為正解。Interface Endpoint 與 Gateway Endpoint 的區分使用、透過端點政策進行限縮、PrivateLink 的服務串接等,在較高階的考試也會出題。