Un'azienda rimuoverà un NAT gateway utilizzato da subnet private in una VPC us-west-2. Le istanze nelle subnet private utilizzano l'agente unificato Amazon CloudWatch. Dopo la rimozione del NAT gateway, il traffico dell'agente CloudWatch deve continuare a funzionare. Quale combinazione di passaggi dovrebbe implementare l'ingegnere di rete? (Scegliere tre.)

Per consentire alle istanze private di comunicare con CloudWatch senza un NAT Gateway, è necessario utilizzare gli endpoint VPC di interfaccia. Abilitare il DNS privato nella VPC (enableDnsHostnames e enableDnsSupport) è fondamentale affinché le istanze possano risolvere i nomi DNS degli endpoint VPC. Gli endpoint VPC di interfaccia per com.amazonaws.us-west-2.logs e com.amazonaws.us-west-2.monitoring sono necessari perché l'agente CloudWatch invia dati sia ai servizi di logging che di monitoraggio. Un nuovo security group deve consentire il traffico TCP in entrata sulla porta 443 dagli intervalli IP delle subnet private verso le interfacce di rete degli endpoint VPC, garantendo che le istanze possano raggiungere gli endpoint. L'opzione di creare un security group che consenta il traffico in uscita 0.0.0.0/0 non è necessaria per gli endpoint VPC, poiché il traffico rimane all'interno della VPC. L'endpoint com.amazonaws.us-west-2.cloudwatch non è corretto; i servizi specifici sono logs e monitoring. Associare gli endpoint VPC alle tabelle di routing non è un passaggio diretto; gli endpoint VPC creano automaticamente interfacce di rete elastiche (ENI) nelle subnet specificate, e le tabelle di routing delle subnet indirizzano il traffico verso queste ENI.