Una instancia de Amazon EC2 se encuentra en una subred privada en una nueva VPC que no tiene acceso saliente a internet. La instancia EC2 debe descargar actualizaciones de seguridad mensuales de un proveedor externo. ¿Qué debe hacer un arquitecto de soluciones para satisfacer este requisito?

La opción correcta es crear un NAT Gateway en una subred pública y configurar la tabla de ruteo de la subred privada para usarlo como ruta predeterminada. Un NAT Gateway permite que las instancias en una subred privada inicien conexiones salientes a Internet mientras evitan que Internet inicie conexiones entrantes a esas instancias. Para que un NAT Gateway funcione, debe estar en una subred pública con una ruta a un Internet Gateway. Las otras opciones son incorrectas porque: Crear solo un Internet Gateway y adjuntarlo a la VPC, configurando la tabla de ruteo de la subred privada para usarlo, expondría directamente la instancia privada a Internet, lo cual no es seguro ni cumple el requisito de acceso saliente sin exposición entrante. Crear una NAT instance en la misma subred que la instancia EC2 no funcionaría porque la subred privada no tiene acceso a Internet. Además, las NAT instances son una solución más antigua y menos escalable que los NAT Gateways. La última opción combina un Internet Gateway y una NAT instance en la misma subred, pero sigue siendo incorrecta por las razones mencionadas para las NAT instances y por la configuración de ruteo que no sería adecuada para una subred privada.