Una empresa eliminará un NAT gateway utilizado por subredes privadas en una VPC de us-west-2. Las instancias en las subredes privadas utilizan el agente unificado de Amazon CloudWatch. Después de eliminar el NAT gateway, el tráfico del agente de CloudWatch debe seguir funcionando. ¿Qué combinación de pasos debe implementar el ingeniero de redes? (Elija tres).

Para que el agente de CloudWatch siga funcionando sin un NAT Gateway, las instancias en subredes privadas necesitan acceso a los servicios de CloudWatch a través de VPC Endpoints. La creación de VPC Endpoints de interfaz para com.amazonaws.us-west-2.logs y com.amazonaws.us-west-2.monitoring permite la comunicación privada con los servicios de CloudWatch. Un nuevo grupo de seguridad que permita el tráfico TCP entrante en el puerto 443 desde las subredes privadas es necesario para que los endpoints reciban las conexiones. Además, habilitar el DNS privado en la VPC (enableDnsHostnames y enableDnsSupport en true) asegura que los nombres de host de los servicios de AWS se resuelvan a las direcciones IP privadas de los endpoints, manteniendo el tráfico dentro de la VPC. La opción de crear un grupo de seguridad que permita el tráfico saliente a 0.0.0.0/0 no es necesaria, ya que el tráfico se mantendrá dentro de la VPC a través de los endpoints. La opción de crear un endpoint para com.amazonaws.us-west-2.cloudwatch es incorrecta porque los servicios específicos de CloudWatch para el agente son logs y monitoring. La asociación de los endpoints con las tablas de ruteo no es un paso explícito requerido para los VPC Endpoints de interfaz, ya que las rutas se gestionan automáticamente.