Een beveiligingsingenieur ontwerpt een e-commerce applicatie op Amazon EC2-instances in een Auto Scaling-groep achter een Application Load Balancer (ALB). De applicatie gebruikt een Amazon RDS DB-instance. Alleen HTTP/HTTPS-verkeer naar de applicatie mag worden blootgesteld aan het internet. De applicatie moet een externe betalingsprovider aanroepen die alleen verkeer toestaat vanaf een vooraf gedefinieerde lijst met bron-IP-adressen. Communicatie met de provider mag niet worden onderbroken wanneer de omgeving schaalt. Welke combinatie van acties moet de beveiligingsingenieur aanbevelen? (Kies drie.)

De EC2-instances moeten in privé-subnets worden geplaatst om ze te beschermen tegen directe blootstelling aan het internet. De ALB bevindt zich in publieke subnets en stuurt verkeer door naar de EC2-instances. De RDS DB-instance moet ook in een privé-subnet worden geplaatst voor maximale beveiliging, aangezien deze geen directe internettoegang nodig heeft. Een NAT Gateway in elk privé-subnet voor elke Availability Zone is essentieel. Dit stelt de EC2-instances in de privé-subnets in staat om uitgaande verbindingen te maken met het internet (bijvoorbeeld naar de externe betalingsprovider) met een statisch publiek IP-adres, zonder dat inkomende verbindingen mogelijk zijn. De betalingsprovider kan vervolgens dit statische IP-adres op een whitelist plaatsen. Het plaatsen van de DB-instance of EC2-instances in een publiek subnet, of de ALB in een privé-subnet, zou de beveiliging in gevaar brengen of de functionaliteit belemmeren.