현재 인스턴스는 퍼블릭 서브넷에서 시작되며, 사용자 데이터 스크립트를 사용하여 인터넷에서 애플리케이션 아티팩트를 다운로드하고 설치합니다. 새로운 보안 분류에 따라 인스턴스는 인터넷에 액세스할 수 없어야 하며, 인스턴스는 정상적으로 시작되지만 애플리케이션이 설치되지 않습니다. 인터넷 액세스를 허용하지 않으면서 애플리케이션을 설치하는 방법은 무엇입니까?

정답은 애플리케이션 아티팩트를 S3 버킷에 업로드하고 S3용 VPC 엔드포인트를 생성하는 것입니다. EC2 인스턴스에 IAM 인스턴스 프로파일을 할당하여 인터넷 액세스 없이 S3에서 아티팩트를 읽을 수 있도록 합니다. 이 방법은 인스턴스가 인터넷에 직접 액세스하지 않고도 S3에서 필요한 아티팩트를 안전하게 다운로드할 수 있도록 합니다. S3용 VPC 엔드포인트는 AWS 네트워크 내에서 S3 서비스에 대한 프라이빗 연결을 제공하며, IAM 인스턴스 프로파일은 S3 버킷에 대한 접근 권한을 부여합니다. 오답인 Elastic IP를 연결 해제하는 방법은 일시적으로 인터넷에 노출되므로 보안 요구 사항을 충족하지 못합니다. NAT Gateway를 사용하는 방법은 인스턴스에 인터넷 아웃바운드 연결을 제공하므로 보안 요구 사항에 위배됩니다. 보안 그룹 규칙을 일시적으로 변경하는 방법 또한 인스턴스가 인터넷에 노출될 위험이 있으며, 수동 작업이 필요하여 비효율적입니다.