Os servidores de banco de dados são executados na subnet-a; os servidores de aplicação e web são executados na subnet-b da VPC padrão. Permita o tráfego de banco de dados apenas de servidores de aplicação para servidores de banco de dados. O que você deve fazer?

A criação de contas de serviço sa-app e sa-db, atribuindo-as aos servidores de aplicação e banco de dados, respectivamente, e configurando uma regra de firewall de entrada que permite o tráfego da conta de serviço de origem sa-app para a conta de serviço de destino sa-db, é a abordagem mais segura e granular. Isso garante que apenas os servidores de aplicação autenticados possam se comunicar com os servidores de banco de dados, independentemente de seus IPs. As tags de rede são menos seguras, pois qualquer instância com a tag pode se comunicar. Usar IPs de VPC ou sub-redes é muito amplo e não restringe o tráfego a instâncias específicas.