S3访问：网关终端节点与接口终端节点的适用场景对比

网关终端节点（Gateway Endpoint） #

网关终端节点是免费的，仅能在VPC内部通过路由表配置访问，适用于以下场景：

• VPC内的EC2、Lambda、EKS Pod等资源直接访问S3，完全不走公网链路，既节省公网流量成本，又避免公网访问带来的安全风险
• 需要精细化控制S3访问范围的场景：通过给特定子网的路由表添加网关终端节点条目，限制只有这些子网内的资源能访问S3
• 大文件批量读写、高吞吐量的S3操作场景：网关终端节点走AWS内部优化的网络路径，延迟更低、带宽更稳定

接口终端节点（Interface Endpoint） #

接口终端节点按使用量收费，支持私有IP访问、跨VPC/跨账户/本地数据中心访问，适用于以下场景：

• 从VPC外部访问S3的场景：比如通过VPN或Direct Connect连接的本地数据中心，或者其他VPC里的资源，需要通过私有网络访问S3
• 需要调用S3管理类API的场景：比如创建/删除桶、配置桶策略这类操作，网关终端节点不支持，接口终端节点可以覆盖所有S3 API
• 希望无需修改代码就能用私有网络访问S3的场景：开启私有DNS后，资源可以直接用标准S3域名（如s3.amazonaws.com）访问，不用切换为区域特定的终端节点域名
• 跨账户访问S3资源的场景：通过接口终端节点的资源策略，可以精准控制其他AWS账户下的资源通过该终端节点访问S3

内容的提问来源于stack exchange，提问作者Mandroid