Private SubnetにあるEc2(Windows)をSSM(パッチマネージャ)でWindows updateしたいが可能ですか？

VPCエンドポイントを通じて、フリートマネージャに登録しオンラインにする事はできたが、パッチ適用ができない。 https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/setup-create-vpc.html そもそも、NATゲートウェイやWSUSなどを構築せずにWindows updateする事は不可能なのでしょうか？ 単純に設定が足りないのか、技術的に不可能なのかが知りたいです。

作成したエンドポイント：

• com.amazonaws.ap-northeast-1.ssm (Interface)
• com.amazonaws.ap-northeast-1.ec2messages (Interface)
• com.amazonaws.ap-northeast-1.ec2 (Interface)
• com.amazonaws.ap-northeast-1.s3 (Gateway)
• com.amazonaws.ap-northeast-1.ssmmessages (Interface)

EC2のAMI： Windows_Server-2022-English-Full-Base-2025.10.15

SSMのエラー： Exception from HRESULT: 0x80072EE2 Windows updateのサービスでscanをかけようとして失敗したと思われる。

今懸念している事： EC2にログインを行い、接続確認をしたところ、-k をつければ接続できるが、ないと証明書のエラーになることから、CRLの確認がタイムアウトした為にベースラインのS3への接続が失敗しているのではないか？つまり、インターネットにでれないとSSMでアップデートできないのではないか？ curl.exe https://s3.ap-northeast-1.amazonaws.com/amazon-ssm-ap-northeast-1/latest/VERSION -svk

一時的に、CRLのチェックを外してテストする事を試みましたが、うまくいきませんでした。