Ein Lösungsarchitekt erstellt eine VPC mit zwei öffentlichen Subnetzen und zwei privaten Subnetzen. Ein Unternehmenssicherheitsmandat erfordert das Starten aller Amazon EC2-Instances in privaten Subnetzen. Wenn der Lösungsarchitekt eine EC2-Instance, die einen Webserver auf den Ports 80 und 443 ausführt, in einem privaten Subnetz startet, kann kein externer Internetverkehr den Server erreichen. Was sollte der Lösungsarchitekt tun, um dies zu beheben?

Die korrekte Lösung ist, einen internetorientierten Application Load Balancer (ALB) in einem öffentlichen Subnetz bereitzustellen und die EC2-Instanz in einem privaten Subnetz der Zielgruppe des ALB hinzuzufügen. Der ALB empfängt den externen Internetverkehr über die öffentlichen Subnetze und leitet ihn an die EC2-Instanz im privaten Subnetz weiter. Dies erfüllt die Sicherheitsanforderung, dass EC2-Instanzen in privaten Subnetzen gestartet werden müssen, während der Zugriff aus dem Internet ermöglicht wird. Die Option mit der Auto Scaling-Gruppe löst das Konnektivitätsproblem nicht direkt, da sie sich auf die Skalierung und nicht auf den Internetzugang bezieht. Ein NAT Gateway ist für ausgehenden Internetzugriff von privaten Subnetzen gedacht, nicht für eingehenden. Die Überprüfung der Sicherheitsgruppe und des DNS-Eintrags für die öffentliche IP-Adresse der EC2-Instanz würde nicht funktionieren, da die Instanz in einem privaten Subnetz keine direkte öffentliche IP-Adresse haben sollte, die für eingehenden Internetverkehr zugänglich ist.