一個多層式電商應用程式使用公有子網路中的 Application Load Balancer、公有子網路中的 Web 層，以及私有子網路中 Amazon EC2 執行個體上的 MySQL 叢集。MySQL 資料庫必須從第三方供應商託管在網際網路上的位置擷取產品目錄和定價資料。設計一個能在不增加營運開銷的情況下最大化安全性的策略。解決方案架構師應該怎麼做？

正確答案是部署 NAT 閘道。私有子網路中的 EC2 執行個體需要存取網際網路以下載產品目錄和定價資料，但不能直接從網際網路接收連入連線以維護安全性。NAT 閘道允許私有子網路中的執行個體發起對網際網路的連線，並接收回應，同時防止網際網路直接連線到這些執行個體。將 NAT 閘道部署在公有子網路中，並更新私有子網路的路由表，將所有網際網路流量導向 NAT 閘道，這是標準且安全的做法。 NAT 執行個體雖然也能提供類似功能，但需要手動管理和維護，增加了營運開銷，不符合「不增加營運開銷」的要求。網際網路閘道用於允許公有子網路中的資源直接與網際網路通訊，但不能用於私有子網路中的資源安全地發起對網際網路的連線。虛擬私有閘道用於建立 VPN 連線到內部部署網路，與此情境無關。