Uma empresa executa um aplicativo em us-east-1 atrás de um ALB que recebe solicitações HTTPS de máquinas de venda automática em todo o mundo. Eles planejam usar o AWS Global Accelerator e programar os IPs estáticos do acelerador nas máquinas de venda automática para que o aplicativo seja acessível apenas através do acelerador, não diretamente pela URL do ALB voltado para a internet. Qual configuração forçará o acesso apenas através do acelerador?

A resposta correta garante que o ALB seja acessível apenas via Global Accelerator. Ao colocar o ALB em sub-redes privadas e não adicionar rotas para o Internet Gateway nessas sub-redes, o ALB não terá conectividade direta com a internet. O Global Accelerator, por sua vez, pode acessar o ALB porque ele opera em uma camada de rede diferente e encaminha o tráfego para o endpoint do ALB internamente na AWS. O Security Group do ALB permitindo tráfego da internet na porta do listener é necessário para que o Global Accelerator possa se comunicar com o ALB. As opções incorretas falham por diferentes motivos: A segunda opção está incorreta porque, sem um Internet Gateway ou rotas para ele, o ALB não conseguiria receber tráfego nem mesmo do Global Accelerator, a menos que o Global Accelerator usasse um endpoint privado, o que não é o caso aqui. A terceira opção está incorreta porque, ao colocar o ALB em sub-redes públicas com rotas para o Internet Gateway, o ALB seria diretamente acessível pela internet, contornando o Global Accelerator, mesmo que o Security Group restrinja o acesso. A quarta opção está incorreta porque, embora o ALB esteja em sub-redes privadas, a adição de rotas para o Internet Gateway nessas sub-redes o tornaria publicamente acessível, violando o requisito de acesso exclusivo via Global Accelerator.