Ein Lösungsarchitekt muss eine VPC sichern, die Amazon EC2-Instances mit hochsensiblen Daten in einem privaten Subnetz hostet. Die Unternehmensrichtlinie erlaubt diesen Instances den Zugriff auf genehmigte Software-Repositorys von Drittanbietern im Internet nur über die URLs des Drittanbieters. Der gesamte andere Internetverkehr muss blockiert werden. Welche Lösung erfüllt diese Anforderungen?

Die AWS Network Firewall mit Domänenlisten-Regelgruppen ist die präziseste Lösung. Sie ermöglicht das Filtern von ausgehendem Datenverkehr basierend auf FQDNs (Fully Qualified Domain Names), was die Anforderung erfüllt, nur bestimmte URLs zuzulassen und den restlichen Internetverkehr zu blockieren. Die Routing-Tabelle leitet den Verkehr zur Firewall um. AWS WAF ist für den Schutz von Webanwendungen konzipiert und filtert HTTP/S-Anfragen, nicht den allgemeinen ausgehenden Verkehr von EC2-Instanzen. Sicherheitsgruppen können ausgehenden Datenverkehr basierend auf IP-Adressen filtern, aber nicht direkt auf URLs, was bei dynamischen IP-Adressen von Drittanbietern unpraktisch wäre. Ein Application Load Balancer (ALB) ist ein Reverse Proxy für eingehenden Datenverkehr zu Webanwendungen und nicht für die Steuerung des ausgehenden Internetzugangs von EC2-Instanzen gedacht.