Uma instância EC2 está em uma sub-rede privada em uma nova VPC que não tem acesso de saída à internet. A instância EC2 deve baixar atualizações de segurança mensais de um fornecedor externo. O que um arquiteto de soluções deve fazer para satisfazer esse requisito?

A opção correta é criar um NAT Gateway em uma sub-rede pública e configurar a tabela de rotas da sub-rede privada para direcionar o tráfego de saída para ele. Isso permite que a instância EC2 na sub-rede privada inicie conexões de saída para a internet (para baixar atualizações), mas impede que hosts externos iniciem conexões de entrada diretamente para ela, mantendo a segurança. As outras opções estão incorretas porque: Anexar um Internet Gateway diretamente à sub-rede privada daria acesso bidirecional à internet, comprometendo a segurança da sub-rede privada. Criar uma instância NAT na mesma sub-rede privada não funcionaria, pois a instância NAT precisaria de acesso à internet para funcionar, e a sub-rede privada não tem esse acesso. Além disso, instâncias NAT são menos escaláveis e resilientes que NAT Gateways. A combinação de Internet Gateway e instância NAT na mesma sub-rede privada ainda não resolveria o problema de acesso à internet para a instância NAT e seria uma arquitetura desnecessariamente complexa e menos robusta.