Para contornar isso, você realmente parece precisar de todos os --vpc , --subnets e --azs , mas por algum motivo você pode especificar exatamente dois AZs. Por sua vez, então, também precisa de exatamente duas sub-redes .
Eu não consegui que funcionasse de outra forma.