一家软件公司拥有远程工程师。Active Directory 域服务 (AD DS) 运行在 EC2 实例上。公司策略要求 VPC 中的所有内部非公共服务只能通过 VPN 访问，并且 VPN 访问需要多重身份验证 (MFA)。解决方案架构师应实施什么来满足这些要求？

正确答案是部署 AWS Client VPN 终端节点，配置与现有 AD DS 集成的 AD Connector 目录，并为 AD Connector 启用 MFA，然后使用 AWS Client VPN 进行用户连接。AWS Client VPN 允许远程用户安全地访问 VPC 资源，并支持与 AD DS 集成进行身份验证。通过 AD Connector 启用 MFA，可以满足公司策略中 VPN 访问需要多重身份验证的要求。 创建 AWS Site-to-Site VPN 连接主要用于连接整个网络，而不是单个用户设备，且 Amazon WorkSpaces 客户端不用于建立 Site-to-Site VPN 连接。使用 AWS VPN CloudHub 也是用于站点间连接，不适用于单个远程工程师的客户端 VPN 访问，并且 AWS Copilot 与 VPN 连接无关。Amazon WorkLink 用于安全访问内部网站和应用程序，而不是建立通用的 VPN 连接来访问所有内部服务。