Une instance Amazon EC2 se trouve dans un sous-réseau privé au sein d'un nouveau VPC qui n'a pas d'accès sortant à Internet. L'instance EC2 doit télécharger les mises à jour de sécurité mensuelles d'un fournisseur externe. Que doit faire un architecte de solutions pour satisfaire cette exigence ?

Pour permettre à une instance EC2 dans un sous-réseau privé d'accéder à Internet pour les mises à jour sans être directement accessible depuis Internet, une passerelle NAT (Network Address Translation) est la solution appropriée. La passerelle NAT doit être placée dans un sous-réseau public, car elle nécessite un accès Internet public via une passerelle Internet. Ensuite, la table de routage du sous-réseau privé est configurée pour diriger tout le trafic sortant (0.0.0.0/0) vers la passerelle NAT. L'option de créer une passerelle Internet et de l'attacher au VPC, puis de configurer la table de routage du sous-réseau privé pour l'utiliser comme route par défaut, rendrait l'instance EC2 directement accessible depuis Internet, ce qui n'est pas souhaitable pour un sous-réseau privé. L'option d'utiliser une instance NAT est une solution plus ancienne et moins gérée par AWS, nécessitant une gestion manuelle et n'offrant pas la même haute disponibilité qu'une passerelle NAT gérée. L'option combinant une passerelle Internet et une instance NAT dans le même sous-réseau est incorrecte car l'instance NAT devrait être dans un sous-réseau public, et la passerelle Internet ne serait pas la route par défaut pour le sous-réseau privé si une NAT est utilisée.