Een Amazon EC2-instance bevindt zich in een privé-subnet in een nieuwe VPC die geen uitgaande internettoegang heeft. De EC2-instance moet maandelijkse beveiligingsupdates downloaden van een externe leverancier. Wat moet een solutions architect doen om aan deze vereiste te voldoen?

De juiste oplossing is het aanmaken van een NAT gateway in een publiek subnet en deze te configureren als de standaardroute voor het privé-subnet. Een NAT gateway stelt instances in een privé-subnet in staat om uitgaande verbindingen met het internet te initiëren, bijvoorbeeld voor het downloaden van updates, terwijl het internet geen inkomende verbindingen naar die instances kan maken. De eerste optie is onjuist omdat een internetgateway directe internettoegang biedt, wat niet geschikt is voor een privé-subnet dat alleen uitgaande toegang nodig heeft en beschermd moet blijven tegen inkomende verbindingen. De derde optie is minder ideaal dan een NAT gateway. Een NAT instance is een enkele EC2-instance die handmatig moet worden beheerd en geschaald, en vormt een single point of failure. Een NAT gateway is een beheerde AWS-service die automatisch schaalt en zeer beschikbaar is. De vierde optie is onjuist omdat het combineren van een internetgateway als standaardroute voor een privé-subnet met een NAT instance in hetzelfde subnet onnodig complex en onveilig is. De internetgateway zou directe toegang mogelijk maken, wat het doel van een privé-subnet ondermijnt.