Ein Unternehmen wird ein NAT Gateway entfernen, das von privaten Subnetzen in einer us-west-2 VPC verwendet wird. Instanzen in den privaten Subnetzen verwenden den vereinheitlichten Amazon CloudWatch Agenten. Nach dem Entfernen des NAT Gateways muss der CloudWatch Agenten-Traffic weiterhin funktionieren. Welche Kombination von Schritten sollte der Netzwerktechniker implementieren? (Wählen Sie drei.)

Nach dem Entfernen des NAT Gateways benötigen Instanzen in privaten Subnetzen einen alternativen Weg, um auf CloudWatch zuzugreifen. Dies wird durch VPC Endpoints erreicht. 1. Interface VPC Endpoints erstellen: Für den CloudWatch Agenten sind Endpoints für com.amazonaws.us-west-2.logs (für Protokolle) und com.amazonaws.us-west-2.monitoring (für Metriken) erforderlich. Der Endpoint com.amazonaws.us-west-2.cloudwatch ist für die CloudWatch-Konsole und APIs, nicht für den Agenten-Traffic. 2. Sicherheitsgruppe für Endpoints: Die Endpoints benötigen eine Sicherheitsgruppe, die eingehenden TCP-Traffic auf Port 443 von den IP-Adressbereichen der privaten Subnetze erlaubt, damit die Instanzen die Endpoints erreichen können. Eine Sicherheitsgruppe, die ausgehenden Traffic zu 0.0.0.0/0 erlaubt, ist für die Endpoints nicht spezifisch genug und würde unnötige Berechtigungen erteilen. 3. Privates DNS aktivieren: Damit die Instanzen die AWS-Service-Endpunkte über ihre privaten IP-Adressen anstatt über öffentliche DNS-Namen auflösen können, müssen enableDnsHostnames und enableDnsSupport in der VPC auf true gesetzt sein. 4. Routing-Tabellen: VPC Endpoints aktualisieren die Routing-Tabellen automatisch, sodass keine manuelle Verknüpfung erforderlich ist.