Bir şirket, EC2 örneklerini yamalama şeklini değiştiriyor. Şu anda örnekler, uygulama hesabının VPC'sindeki bir NAT gateway üzerinden internet üzerinden yama alıyor. Bir core hesabındaki özel bir private VPC, yama kaynak deposu olarak işlev gören EC2 örneklerini barındırıyor. Şirket, uygulama hesabındaki EC2 örneklerini yamalamak için Systems Manager Patch Manager'ı ve core hesaptaki yama deposunu kullanmak istiyor, aynı zamanda uygulama hesabındaki tüm örneklerin internete erişmesini engellemek istiyor. Örneklerin yine de Amazon S3'e (uygulama verilerinin depolandığı yer), Systems Manager'a ve core hesaptaki yama deposuna erişmesi gerekiyor. Hangi çözüm bu gereksinimleri karşılar?

Doğru çözüm, Systems Manager ve Amazon S3 için VPC uç noktaları oluşturarak EC2 örneklerinin internete çıkmadan bu hizmetlere güvenli bir şekilde erişmesini sağlar. NAT Gateway'i silmek, tüm internet erişimini engelleme gereksinimini karşılar. Core hesaptaki yama deposuna erişim için VPC peering bağlantısı kurmak, iki VPC arasında özel ve doğrudan bir bağlantı sağlar. Her iki hesaptaki yönlendirme tablolarını güncellemek, trafiğin doğru şekilde yönlendirilmesini garanti eder. Diğer seçenekler neden yanlış: Ağ ACL'si ile giden trafiği engellemek, internet erişimini kısıtlar ancak Systems Manager ve S3'e erişimi de engeller. VPN sunucusu karmaşıklık ekler ve doğrudan bir çözüm değildir. Private VIF'ler Direct Connect için kullanılır ve bu senaryoda uygun değildir. Gelen trafiği engelleyen Ağ ACL'si, giden internet erişimini engelleme gereksinimini karşılamaz. Transit Gateway, VPC peering'e bir alternatif olabilir ancak VPC uç noktaları eksik olduğu için S3 ve Systems Manager erişimi sorunlu kalır.