某个应用程序运行在 VPC 私有子网内的 EC2 实例上。该应用程序必须能够从互联网下载软件更新，并且公司策略规定所有 EC2 实例都必须位于私有子网中。SysOps 管理员应如何为出站更新提供互联网访问，同时保持实例的私有性？

正确答案是“在公共子网中创建 NAT gateway，并在私有子网的路由表中添加一条将互联网绑定流量指向 NAT gateway 的路由”。NAT Gateway 允许私有子网中的实例发起出站连接到互联网，而无需将实例直接暴露给互联网的入站连接。它部署在公共子网中，并通过路由表将私有子网的出站流量路由到 NAT Gateway。 选项“将互联网网关附加到 VPC，并从私有子网的路由表添加一条路由到互联网网关”是错误的，因为这将使私有子网中的实例可以直接从互联网访问，违反了公司策略。 选项“在私有子网中创建 NAT gateway，并在私有子网路由表中添加一条路由到 NAT gateway”是错误的，因为 NAT Gateway 必须部署在公共子网中才能访问互联网。 选项“将两个互联网网关附加到 VPC，并在私有和公共子网路由表中添加路由到这些互联网网关”是错误的，因为一个 VPC 只能有一个互联网网关，并且这同样会直接暴露私有子网。