Инженер по безопасности разрабатывает приложение электронной коммерции на инстансах Amazon EC2 в группе Auto Scaling за балансировщиком нагрузки Application Load Balancer (ALB). Приложение использует инстанс базы данных Amazon RDS. Только HTTP/HTTPS-трафик к приложению должен быть доступен из интернета. Приложение должно вызывать внешнего поставщика платежных услуг, который разрешает трафик только с заранее определенного списка исходных IP-адресов. Связь с поставщиком не должна прерываться при масштабировании среды. Какую комбинацию действий должен рекомендовать инженер по безопасности? (Выберите три.)

Размещение инстансов EC2 в частных подсетях и инстанса базы данных RDS в частной подсети обеспечивает безопасность, так как они не доступны напрямую из интернета. ALB, находящийся в публичных подсетях, направляет только HTTP/HTTPS-трафик к EC2. NAT Gateway в каждой частной подсети для каждой Availability Zone позволяет инстансам EC2 в частных подсетях инициировать исходящие соединения с интернетом (например, к внешнему поставщику платежных услуг) без прямого входящего доступа, при этом обеспечивая стабильный исходный IP-адрес для поставщика платежных услуг, что критично при масштабировании. Размещение RDS в публичной подсети или EC2 в публичных подсетях нарушило бы принцип наименьших привилегий и сделало бы их уязвимыми. Развертывание ALB в частной подсети сделало бы его недоступным из интернета.