EC2 上的 ECS 集群将不再具有互联网访问权限；必须移除 NAT 网关和互联网网关。ECS 任务仍必须能够从私有 ECR 存储库和公共 ECR 注册表拉取镜像。公共镜像必须刷新，以便在 24 小时内为集群提供新版本。以下哪种步骤组合（选择三项）能够以最少的操作开销提供所需的功能？

1. 为公共 ECR 注册表创建 ECR pull-through cache 规则，并在切断互联网访问前至少拉取一次公共镜像，确保 ECS 任务可以在没有互联网访问的情况下从私有网络中获取公共镜像。 2. 为私有 ECR 存储库创建 ECR 接口 VPC 端点，允许 ECS 任务通过私有连接访问私有 ECR 存储库，而无需互联网网关或 NAT 网关。 3. 创建 S3 网关端点，因为 ECR 依赖 S3 存储镜像层，这确保了 ECS 任务在没有互联网访问的情况下仍能访问 ECR。 其他选项不正确的原因： 为每个公共镜像创建 CodeBuild 项目和私有 ECR 存储库，并安排构建，操作开销过大。 创建 Lambda 调用 pull-through 规则，并安排 Lambda，操作开销同样过大。 为公共 ECR 注册表创建 ECR 接口 VPC 端点，无法解决公共镜像的拉取问题，因为公共 ECR 注册表不是 VPC 端点支持的服务。