Een bedrijf verwijdert een NAT-gateway die wordt gebruikt door privésubnetten in een us-west-2 VPC. Instanties in de privésubnetten gebruiken de uniforme Amazon CloudWatch-agent. Na het verwijderen van de NAT-gateway moet het verkeer van de CloudWatch-agent blijven werken. Welke combinatie van stappen moet de netwerkengineer implementeren? (Kies er drie.)

Om CloudWatch Agent-verkeer te laten werken na het verwijderen van de NAT Gateway, moeten VPC-endpoints worden gebruikt. De CloudWatch Agent stuurt logs en metrische gegevens naar respectievelijk de CloudWatch Logs en CloudWatch Monitoring services. Daarom zijn interface VPC endpoints nodig voor com.amazonaws.us-west-2.logs en com.amazonaws.us-west-2.monitoring. De security group voor deze endpoints moet inkomend TCP-verkeer op poort 443 toestaan vanaf de IP-bereiken van de privésubnetten, omdat de instanties in deze subnetten verbinding maken met de endpoints. Tot slot is het inschakelen van private DNS (enableDnsHostnames en enableDnsSupport) op de VPC essentieel, zodat de instanties de private DNS-namen van de VPC endpoints kunnen oplossen. De optie om een security group te maken die uitgaand TCP-verkeer op poort 443 naar 0.0.0.0/0 toestaat, is onnodig voor de endpoints, omdat de verbindingen inkomend zijn naar de endpoints. Het maken van een endpoint voor com.amazonaws.us-west-2.cloudwatch is onjuist, aangezien CloudWatch Logs en CloudWatch Monitoring afzonderlijke services zijn. Het koppelen van endpoints aan routetabellen is niet nodig; de routetabellen moeten alleen een route naar het endpoint hebben via de lokale route.