As instâncias são atualmente iniciadas em uma sub-rede pública e usam um script de dados de usuário para baixar e instalar artefatos de aplicativos da internet. Uma nova classificação de segurança exige que as instâncias não tenham acesso à internet e, embora as instâncias sejam iniciadas com êxito, o aplicativo não é instalado. Qual abordagem instalará o aplicativo garantindo que não haja acesso à internet?

A opção correta garante que as instâncias não tenham acesso direto à internet, conforme exigido pela nova classificação de segurança. Ao usar um VPC endpoint para S3, as instâncias podem acessar os artefatos do aplicativo armazenados no S3 de forma privada, sem precisar de um gateway de internet ou NAT. O perfil de instância IAM concede as permissões necessárias para ler do S3. A opção de iniciar em sub-rede pública com Elastic IPs e depois desassociá-los ainda expõe as instâncias à internet durante a instalação, violando a segurança. Criar um NAT gateway permite acesso à internet, o que também vai contra o requisito de segurança. Criar um security group com acesso de saída temporário ao repositório de artefatos ainda permite acesso à internet, o que é proibido.