一个应用程序在三个可用区中的三个 EC2 实例上运行，并位于一个 Network Load Balancer (NLB) 之后。管理员必须限制实例流量，使其只允许来自 NLB 的请求。哪种方法能以最少的操作工作量满足此要求？

正确答案是：将 EC2 实例的安全组入站规则设置为仅接受来自与 NLB 关联的安全组的流量。 解释： 这种方法操作工作量最少，且能有效限制流量。当您将 EC2 实例的安全组入站规则配置为只接受来自与 NLB 关联的安全组的流量时，AWS 会自动处理安全组之间的引用，确保只有通过 NLB 的请求才能到达实例。 其他选项的不足： 将 EC2 实例的安全组入站规则设置为仅接受来自 NLB 的弹性网络接口的流量：NLB 的弹性网络接口可能会动态变化，手动维护这些 IP 地址会增加管理负担。 为应用程序子网创建网络 ACL，并仅允许来自 NLB 的 CIDR 范围的入站流量：网络 ACL 是无状态的，需要同时配置入站和出站规则，且维护 NLB 的 CIDR 范围也可能带来管理复杂性。 在单独的 EC2 实例上部署第三方防火墙：这会引入额外的管理开销、成本和潜在的单点故障，不符合“最少操作工作量”的要求。