Ein Lösungsarchitekt entwirft eine VPC mit mehreren Subnetzen, um EC2-Instances und Amazon RDS DB-Instances zu hosten. Die VPC verfügt über sechs Subnetze, die sich auf zwei Availability Zones verteilen: In jeder AZ gibt es ein öffentliches Subnetz, ein privates Subnetz und ein dediziertes Datenbank-Subnetz. Nur EC2-Instances in den privaten Subnetzen sollen auf die RDS-Datenbanken zugreifen können. Welche Lösung erzwingt diese Anforderung?

Die korrekte Lösung ist die Erstellung einer Sicherheitsgruppe, die eingehenden Datenverkehr von der Sicherheitsgruppe der privaten Subnetze erlaubt und diese Sicherheitsgruppe den RDS-DB-Instanzen zuweist. Sicherheitsgruppen agieren als virtuelle Firewalls für Instanzen und steuern den Ingress- und Egress-Verkehr auf Instanzebene. Indem Sie nur den Zugriff von der Sicherheitsgruppe der privaten EC2-Instanzen erlauben, stellen Sie sicher, dass nur diese Instanzen auf die Datenbanken zugreifen können. Die Option, eine Routing-Tabelle zu erstellen, die öffentliche Subnetze ausschließt, ist falsch, da Routing-Tabellen den Netzwerkverkehr zwischen Subnetzen steuern, aber nicht den Zugriff auf einzelne Instanzen basierend auf deren Sicherheitsgruppen. Eine Sicherheitsgruppe, die den Zugriff von öffentlichen Subnetzen verweigert, wäre weniger präzise als eine, die explizit den Zugriff von den privaten Subnetzen erlaubt, und könnte zu unnötigen Komplexitäten führen. Peering-Verbindungen sind für die Verbindung von VPCs gedacht, nicht für die Steuerung des Zugriffs innerhalb einer einzelnen VPC.