Instanzen werden derzeit in einem öffentlichen Subnetz gestartet und verwenden ein Benutzerdaten-Skript, um Anwendungsartefakte aus dem Internet herunterzuladen und zu installieren. Eine neue Sicherheitsklassifizierung erfordert, dass die Instanzen keinen Internetzugang haben, und obwohl die Instanzen fehlerfrei gestartet werden, wird die Anwendung nicht installiert. Welcher Ansatz installiert die Anwendung, während sichergestellt wird, dass kein Internetzugang besteht?

Die korrekte Lösung ist, die Anwendungsartefakte in einen S3-Bucket hochzuladen und einen VPC-Endpunkt für S3 zu erstellen. EC2-Instanzen in einem privaten Subnetz können dann über diesen Endpunkt sicher auf S3 zugreifen, ohne das Internet zu durchqueren. Ein IAM-Instanzprofil stellt die notwendigen Berechtigungen bereit. Die Option mit Elastic IPs ist umständlich und widerspricht der Anforderung, keinen Internetzugang zu haben. Ein NAT Gateway würde den Instanzen zwar ausgehenden Internetzugang ermöglichen, was aber explizit durch die neue Sicherheitsklassifizierung untersagt ist. Das Erstellen einer Sicherheitsgruppe, die nur temporären Zugriff erlaubt, würde ebenfalls kurzzeitig Internetzugang gewähren und ist somit keine dauerhafte Lösung für die Anforderung "kein Internetzugang".