Um arquiteto de soluções está projetando uma VPC com várias sub-redes para hospedar instâncias EC2 e instâncias de banco de dados Amazon RDS. A VPC possui seis sub-redes em duas Zonas de Disponibilidade: em cada AZ há uma sub-rede pública, uma sub-rede privada e uma sub-rede dedicada a banco de dados. Somente as instâncias EC2 nas sub-redes privadas devem ser capazes de acessar os bancos de dados RDS. Qual solução impõe esse requisito?

A opção correta é criar um security group que permita o tráfego de entrada do security group das instâncias privadas e anexá-lo aos bancos de dados. Security groups atuam como firewalls virtuais no nível da instância, controlando o tráfego de entrada e saída. Ao permitir apenas o tráfego do security group das instâncias privadas, garante-se que somente elas possam acessar os bancos de dados. As outras opções estão incorretas porque: Criar uma nova tabela de rotas não controla o acesso entre sub-redes dentro da mesma VPC; tabelas de rotas direcionam o tráfego para fora da sub-rede ou para gateways. Um security group que nega tráfego não é a abordagem padrão para controle de acesso; security groups são stateful e operam com regras de permissão. Conexões de emparelhamento (peering) são usadas para conectar VPCs diferentes, não sub-redes dentro da mesma VPC.