Uma empresa está migrando um aplicativo para uma nova conta AWS em uma única região. O aplicativo é executado em instâncias EC2 em sub-redes privadas em várias Zonas de Disponibilidade. Os usuários se conectam via HTTPS a partir de navegadores. O tráfego de entrada deve ser balanceado entre as AZs e as instâncias, e todas as conexões da mesma sessão de cliente devem ir para a mesma instância EC2. A empresa também exige criptografia de ponta a ponta usando o certificado SSL do aplicativo. Qual design atende a esses requisitos?

A opção correta descreve a configuração de um Network Load Balancer (NLB) com terminação SSL nas instâncias EC2. O NLB opera na camada 4 (TCP), permitindo o balanceamento de carga de tráfego TCP/443 e a manutenção da afinidade de sessão (sticky sessions) baseada em IP. Ao definir o protocolo TCP/443 no listener e no grupo de destino, o NLB passa o tráfego criptografado diretamente para as instâncias, onde os certificados SSL são gerenciados. Isso garante a criptografia ponta a ponta e atende aos requisitos do aplicativo. As opções incorretas falham por diversos motivos: A opção com Application Load Balancer (ALB) e protocolo HTTP/80 para o grupo de destino não garante a criptografia ponta a ponta, pois o tráfego entre o ALB e as instâncias seria HTTP. Além disso, a afinidade de sessão baseada em cookie não é a mais adequada para o requisito de criptografia ponta a ponta no nível TCP. A opção com NLB e protocolo TLS/443 no listener e grupo de destino com certificado ACM faria a terminação SSL no NLB, e não nas instâncias, quebrando o requisito de criptografia ponta a ponta gerenciada pelo aplicativo. A opção com ALB e listener HTTP na porta 443 é inválida, pois um listener HTTP não pode operar na porta 443, que é reservada para HTTPS.