Un'istanza Amazon EC2 si trova in una sottorete privata in una nuova VPC che non ha accesso a Internet in uscita. L'istanza EC2 deve scaricare gli aggiornamenti di sicurezza mensili da un fornitore esterno. Cosa dovrebbe fare un architetto di soluzioni per soddisfare questo requisito?

La risposta corretta è creare un NAT gateway in una sottorete pubblica e configurare la tabella di routing della sottorete privata per indirizzare il traffico in uscita verso il NAT gateway. Questo permette all'istanza EC2 nella sottorete privata di accedere a Internet per scaricare gli aggiornamenti, mantenendo la sua inaccessibilità diretta dall'esterno. Le altre opzioni sono errate perché: Creare solo un internet gateway e configurare la sottorete privata per usarlo come route predefinita esporrebbe l'istanza EC2 direttamente a Internet, violando il requisito di sottorete privata. Creare un'istanza NAT nella stessa sottorete dell'istanza EC2 non è sufficiente, poiché l'istanza NAT stessa necessiterebbe di accesso a Internet, tipicamente tramite un internet gateway e una sottorete pubblica. Inoltre, le istanze NAT sono meno gestite e scalabili rispetto ai NAT gateway. L'ultima opzione combina un internet gateway con un'istanza NAT nella stessa sottorete privata, ma configura la route predefinita verso l'internet gateway, esponendo l'istanza privata.