Instanties worden momenteel gestart in een publiek subnet en gebruiken een user-data script om applicatie-artefacten van het internet te downloaden en te installeren. Een nieuwe beveiligingsclassificatie vereist dat de instanties geen internettoegang hebben, en hoewel instanties gezond opstarten, is de applicatie niet geïnstalleerd. Welke aanpak zal de applicatie installeren en tegelijkertijd zorgen voor geen internettoegang?

De juiste aanpak is om de applicatie-artefacten naar een S3-bucket te uploaden en een VPC-endpoint voor S3 te maken. Door een IAM-instantieprofiel toe te wijzen aan de EC2-instanties, kunnen ze de artefacten van S3 lezen via het VPC-endpoint zonder internettoegang, wat voldoet aan de beveiligingsvereiste. Optie A is onveilig en omslachtig; het toekennen van Elastic IP's geeft internettoegang, wat in strijd is met de vereiste. Optie B geeft de instanties internettoegang via de NAT Gateway, wat ook in strijd is met de beveiligingsvereiste. Optie D is onpraktisch en onveilig; het beheren van security group-regels voor elke installatie is foutgevoelig en geeft tijdelijk internettoegang.