Aplikacja działa na instancjach EC2 w prywatnych podsieciach VPC. Aplikacja musi mieć możliwość pobierania aktualizacji oprogramowania z internetu, a polityka firmy wymaga, aby wszystkie instancje EC2 znajdowały się w prywatnych podsieciach. Co powinien zrobić administrator SysOps, aby zapewnić dostęp do internetu dla wychodzących aktualizacji, jednocześnie utrzymując instancje w prywatnych podsieciach?

Poprawna odpowiedź to utworzenie NAT Gateway w publicznej podsieci i skonfigurowanie tabeli tras prywatnych podsieci tak, aby ruch wychodzący do internetu był kierowany przez ten NAT Gateway. Instancje EC2 w prywatnych podsieciach mogą wtedy inicjować połączenia wychodzące do internetu (np. w celu pobrania aktualizacji), ale nie są dostępne z internetu, co spełnia wymogi bezpieczeństwa. Pozostałe opcje są nieprawidłowe: Dołączenie Internet Gateway bezpośrednio do VPC i kierowanie ruchu z prywatnych podsieci do niego sprawiłoby, że instancje w prywatnych podsieciach byłyby publicznie dostępne, co narusza politykę firmy. Utworzenie NAT Gateway w prywatnej podsieci jest niemożliwe, ponieważ NAT Gateway wymaga publicznego adresu IP i musi znajdować się w publicznej podsieci, aby móc kierować ruch do internetu. Dołączenie dwóch Internet Gateway do VPC nie jest możliwe (można mieć tylko jeden Internet Gateway na VPC) i nie rozwiązuje problemu dostępu do internetu dla instancji w prywatnych podsieciach bez ich publicznego udostępniania.