Uma empresa implantará um aplicativo web interno na AWS que deve ser acessível apenas do escritório da empresa. O aplicativo deve baixar patches de segurança da internet. A empresa possui uma VPC e uma AWS Site-to-Site VPN para o escritório. Qual design atende a esses requisitos de forma segura?

A opção correta atende a todos os requisitos. O aplicativo web em sub-redes privadas e um ALB interno garantem que ele não seja acessível diretamente da internet, mas apenas através da VPN Site-to-Site. O security group do ALB restrito ao CIDR do escritório permite o acesso apenas de lá. Os NAT Gateways em sub-redes públicas, com um Internet Gateway anexado à VPC, permitem que as instâncias EC2 nas sub-redes privadas baixem patches de segurança da internet sem expor o tráfego de entrada. A primeira opção está incorreta porque um ALB público e security group 0.0.0.0/0 exporiam o aplicativo à internet. A terceira opção está incorreta porque um ALB interno em sub-redes públicas não faz sentido e o destino de saída do security group não controla o acesso de entrada. A quarta opção está incorreta porque um ALB público exporia o aplicativo, mesmo que as instâncias EC2 estivessem em sub-redes privadas.