Что необходимо настроить, чтобы обеспечить изоляцию на уровне подсети, маршрутизируя трафик от instance-A через экземпляр устройства безопасности instance-B, расположенный в другой подсети?

Для обеспечения изоляции и принудительной маршрутизации трафика от instance-A через instance-B (устройство безопасности) необходимо создать пользовательский маршрут. Этот маршрут должен быть более специфичным, чем автоматически сгенерированный маршрут подсети, чтобы он имел приоритет. Указание instance-B в качестве следующего хопа направляет трафик через него. Применение тега к instance-A позволяет выборочно применять этот маршрут только к instance-A, предотвращая влияние на другие инстансы в той же подсети. Вариант без тега применит маршрут ко всем инстансам, что не обеспечивает изоляцию. Удаление автоматически сгенерированного маршрута подсети нарушит связность. Перемещение instance-B в другой VPC и использование multi-NIC усложняет архитектуру и не является стандартным решением для данной задачи.