EC2 实例位于私有子网中，并且必须访问同一区域中的 S3 存储桶。不允许更改实例或应用程序，并且实例不得具有 Internet 访问权限。哪种方法满足这些限制？

正确答案是为 S3 创建一个网关 VPC 端点，使用默认端点策略并将其与私有子网关联。网关 VPC 端点允许私有子网中的 EC2 实例通过 AWS 内部网络直接访问 S3，而无需通过互联网网关或 NAT 网关。这满足了实例不能有互联网访问的限制，并且不需要更改实例或应用程序。 创建 S3 接口端点不正确，因为接口端点是基于 ENI 的，需要实例配置才能使用，并且通常用于需要更精细控制或跨区域访问的情况，而网关端点更适合本场景。预置 NAT 网关会为私有子网提供出站互联网访问，这与题目中“实例不得具有 Internet 访问权限”的限制相悖。部署代理 EC2 实例会增加复杂性、管理开销和潜在的单点故障，并且不符合“不允许更改实例或应用程序”的要求。