Een bedrijf verandert de manier waarop het EC2-instances patcht. Momenteel patchen instances via het internet via een NAT-gateway in de VPC van het applicatieaccount. Een dedicated private VPC in een core-account host EC2-instances die fungeren als een patch-bronrepository. Het bedrijf wil Systems Manager Patch Manager en de patch-repository van het core-account gebruiken om EC2-instances in het applicatieaccount te patchen, terwijl alle instances in het applicatieaccount geen toegang krijgen tot het internet. De instances hebben nog steeds toegang nodig tot Amazon S3 (waar applicatiegegevens zijn opgeslagen), Systems Manager en de patch-repository in het core-account. Welke oplossing voldoet aan deze vereisten?