Не очень понятно, новый у вас инстанс или уже был, как и куда вы добавили публичный ключ? Какой у вас инстанс на авс?
Но постараюсь пояснить логику процесса:
1. когда вы создаете инстанс, амазон предлагает сгенерировать или выбрать существующий ключ, этот ключ вам надо сохранить себе на диск.
2. амазон выдает ключ в формате pem и если его открыть в редакторе он начинается на -----BEGIN RSA PRIVATE KEY-----. На самом инстансе публичный сертификат уже зашит на этапе инсталяции.
3. Этот pem ключ можно непосредственно использовать при подключение из терминала (кстати говоря виндовс уже это тоже умеет) ssh -i путь_к_PEM_файлу логин@хост_или_ip
4. если вы хотите подключиться через путти, то PEM ключ надо конвертировать в PPK ключ. Вам надо сохранить именно приватный ключ, тк публичный уже есть на самом сервере. Инструкция как конвертировать по ссылке

все зависит от вашего приложение, возможно несколько вариантов:

1. если ваше приложение умеет раздавать и кешировать статику, обрабатывать роуты самостоятельно, то без нжинкса можно обойтись
   
2. если у вас приложение монолитное и версия фронтенда жестко зависит от версии бекенда, то желательно деплоить службу с двумя контейнерами: нжинкс и бекенд. А порт нжинкса уже мапить в балансировщик
   
3. если приложение не монолитное, то можно распилить фронт и бек по разным сервисам и эндпоинтам, тогда будет удобно скейлить нагрузку.
   

ответ будет пальцем в небо, потому что много неизвестных:
но если в реляционных бд реализовывать фильтры, то надо думать про индексы, а как с этим в монгодб?

ну и я бы рекомендовал сначала произвести детальный профайлинг, хотя бы посмотреть какие процессы грузят, сколько ядер задействовано и остальные ресурсы.

просто опишите разными локейшенами
конструкция ниже будет работать, поменяйте значения на свои

location /tools/api {
  deny all;
}
location /tools/api/create {
  alias   /usr/share/nginx/html;
  index  index.html index.htm;
}