Firma zmienia sposób łatania instancji EC2. Obecnie instancje są łatane przez internet za pośrednictwem bramy NAT w VPC konta aplikacji. Dedykowana prywatna VPC na koncie głównym hostuje instancje EC2 działające jako repozytorium źródłowe poprawek. Firma chce używać Systems Manager Patch Manager i repozytorium poprawek konta głównego do łatania instancji EC2 na koncie aplikacji, jednocześnie uniemożliwiając wszystkim instancjom na koncie aplikacji dostęp do internetu. Instancje nadal potrzebują dostępu do Amazon S3 (gdzie przechowywane są dane aplikacji), Systems Manager i repozytorium poprawek na koncie głównym. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź spełnia wszystkie wymagania. Utworzenie punktów końcowych VPC dla Systems Manager i Amazon S3 umożliwia instancjom EC2 dostęp do tych usług bez konieczności dostępu do internetu. Usunięcie bramy NAT izoluje instancje od internetu. Połączenie VPC peering pozwala na bezpieczny i prywatny dostęp do repozytorium poprawek w innej VPC. Aktualizacja tabel routingu jest niezbędna, aby ruch był kierowany przez punkty końcowe VPC i połączenie peeringowe. Pierwsza niepoprawna opcja (network ACL i VPN) jest zbyt złożona i niepotrzebna. Network ACL blokuje tylko port 80, a nie cały ruch wychodzący do internetu, a VPN komplikuje architekturę. Druga opcja (prywatne VIF) jest błędna, ponieważ prywatne VIF są używane z AWS Direct Connect, a nie do łączenia usług AWS w ramach tej samej chmury. Trzecia niepoprawna opcja (network ACL blokująca ruch przychodzący) nie rozwiązuje problemu dostępu wychodzącego do internetu ani dostępu do usług AWS.