Uma aplicação é executada em instâncias EC2 dentro de sub-redes privadas de uma VPC. A aplicação deve ser capaz de baixar atualizações de software da internet, e a política da empresa exige que todas as instâncias EC2 residam em sub-redes privadas. O que um administrador SysOps deve fazer para fornecer acesso à internet para atualizações de saída, mantendo as instâncias privadas?

A opção correta é criar um NAT gateway em uma sub-rede pública e adicionar uma rota na tabela de rotas das sub-redes privadas que direcione o tráfego destinado à internet para o NAT gateway. Isso permite que as instâncias EC2 em sub-redes privadas iniciem conexões de saída para a internet (para baixar atualizações), mas impede que a internet inicie conexões de entrada diretamente para essas instâncias, mantendo-as privadas. As outras opções estão incorretas porque: Anexar um internet gateway diretamente à VPC e adicionar uma rota da tabela de rotas das sub-redes privadas para o internet gateway tornaria as instâncias acessíveis diretamente da internet, violando o requisito de privacidade. Criar um NAT gateway em uma sub-rede privada não funcionaria, pois um NAT gateway precisa de acesso à internet para funcionar, o que só é possível em uma sub-rede pública com um internet gateway. Anexar dois internet gateways à VPC é desnecessário e não é uma configuração padrão; um único internet gateway é suficiente e a questão principal é como rotear o tráfego de sub-redes privadas de forma segura.