一家公司在 VPC 私有子网中的 Amazon EC2 实例上运行 Web 应用程序。公共子网中的 Application Load Balancer (ALB) 将流量导向这些 EC2 实例。该公司希望限制 EC2 实例的入站流量，使其只能由 ALB 访问，从而阻止来自任何其他来源的访问。哪种解决方案符合这些要求？

正确答案是“将 EC2 实例的安全组配置为只允许来自 ALB 安全组的流量”。通过这种方式，您可以确保只有来自 Application Load Balancer (ALB) 的流量才能到达 EC2 实例，从而有效地阻止来自其他任何来源的直接访问。这是实现最小权限原则和增强安全性的标准做法。 选项“在路由表中配置路由，将来自互联网的流量导向 EC2 实例的私有 IP 地址”是错误的，因为路由表控制子网之间的流量路由，而不是基于源的安全访问控制。将互联网流量直接路由到私有 IP 会暴露实例，而不是保护它。 选项“将 EC2 实例移动到公共子网。为 EC2 实例分配一组弹性 IP 地址”是错误的，因为这将把 EC2 实例暴露在公共互联网上，与限制访问的需求背道而驰。私有子网是放置后端实例以增强安全性的最佳实践。 选项“将 ALB 的安全组配置为允许任何端口上的任何 TCP 流量”是错误的，因为这会使 ALB 对所有入站流量开放，但问题要求限制对 EC2 实例的访问，而不是放宽对 ALB 的访问。ALB 的安全组应允许来自客户端的必要流量，但这不是保护后端 EC2 实例的机制。