ある企業が、社内WebアプリケーションをAWSにデプロイします。このアプリケーションは、会社のオフィスからのみアクセス可能である必要があります。また、アプリケーションはインターネットからセキュリティパッチをダウンロードする必要があります。この企業はVPCとAWS Site-to-Site VPNをオフィスに接続しています。これらの要件を安全に満たす設計はどれですか？

この設計は、Webアプリケーションへのアクセスをオフィスネットワークに限定しつつ、セキュリティパッチのダウンロードを可能にする要件を安全に満たします。 1. プライベートサブネット内のEC2インスタンスと内部ALB: アプリケーションがインターネットから直接アクセスされないように保護します。内部ALBはVPC内からのみアクセス可能です。 2. ALBのセキュリティグループのインバウンドソースをオフィスネットワークのCIDRブロックに設定: オフィスからのアクセスのみを許可し、他のソースからのアクセスをブロックします。 3. パブリックサブネットにNATゲートウェイをデプロイし、VPCにインターネットゲートウェイをアタッチ: プライベートサブネット内のEC2インスタンスがインターネットにアウトバウンド接続（セキュリティパッチのダウンロードなど）できるようにしますが、インターネットからのインバウンド接続は許可しません。 他の選択肢は、セキュリティ要件を満たさないか、インターネットからのアクセスを不必要に許可してしまいます。