Le istanze vengono attualmente avviate in una sottorete pubblica e utilizzano uno script user-data per scaricare e installare gli artefatti dell'applicazione da Internet. Una nuova classificazione di sicurezza richiede che le istanze non abbiano accesso a Internet e, sebbene le istanze si avviino correttamente, l'applicazione non viene installata. Quale approccio installerà l'applicazione garantendo l'assenza di accesso a Internet?

L'opzione corretta risolve il problema soddisfacendo tutti i requisiti di sicurezza. Caricando gli artefatti in un bucket S3 e creando un VPC endpoint per S3, le istanze EC2 possono accedere agli artefatti in modo privato e sicuro senza richiedere l'accesso a Internet. L'assegnazione di un profilo di istanza IAM con le autorizzazioni appropriate garantisce che solo le istanze autorizzate possano scaricare gli artefatti. Le opzioni errate non rispettano il requisito di non avere accesso a Internet: Avviare le istanze in una sottorete pubblica con Elastic IP e poi dissociare gli IP significa che le istanze hanno accesso a Internet durante l'installazione, violando il requisito. Un NAT gateway fornisce accesso a Internet alle istanze in una sottorete privata, il che è esplicitamente vietato dalla nuova classificazione di sicurezza. Creare un gruppo di sicurezza che consenta l'accesso in uscita al repository degli artefatti implica comunque un accesso a Internet, anche se limitato, e la rimozione della regola dopo l'installazione non impedisce l'accesso iniziale.