ある会社が EC2 インスタンスのパッチ適用方法を変更しています。現在、インスタンスはアプリケーションアカウントの VPC 内にある NAT ゲートウェイを介してインターネット経由でパッチを適用しています。コアアカウントの専用プライベート VPC は、パッチソースリポジトリとして機能する EC2 インスタンスをホストしています。同社は、Systems Manager Patch Manager とコアアカウントのパッチリポジトリを使用して、アプリケーションアカウントの EC2 インスタンスにパッチを適用したいと考えていますが、アプリケーションアカウント内のすべてのインスタンスがインターネットにアクセスできないようにしたいと考えています。インスタンスは引き続き Amazon S3 (アプリケーションデータが保存されている場所)、Systems Manager、およびコアアカウントのパッチリポジトリにアクセスできる必要があります。これらの要件を満たすソリューションはどれですか？

このソリューションは、インターネットアクセスを削除しつつ、必要なサービスへのプライベート接続を維持するというすべての要件を満たします。NAT ゲートウェイを削除することで、EC2 インスタンスはインターネットに直接アクセスできなくなります。Systems Manager と Amazon S3 の VPC エンドポイントは、これらのサービスへのプライベート接続を確保します。VPC ピアリングは、アプリケーションアカウントの VPC とコアアカウントの VPC 間のプライベートネットワーク接続を確立し、パッチリポジトリへのアクセスを可能にします。両アカウントのルートテーブルを更新することで、トラフィックが正しくルーティングされます。 他の選択肢は、インターネットアクセスを完全にブロックできなかったり、必要なプライベート接続を提供できなかったりするため不適切です。例えば、ネットワーク ACL のみでは、インターネットへの他の経路をブロックできません。また、VPN サーバーのデプロイは、より複雑で管理オーバーヘッドが増加します。