Ein Lösungsarchitekt muss eine zentral verwaltete, regelbasierte Filterung für ausgehenden Internetverkehr für alle AWS-Konten in einer AWS Organization hinzufügen. Die Organisation hat mehr als 100 Konten, verwendet ein zentralisiertes AWS Transit Gateway für das Routing zwischen Konten, jedes Konto hat ein Internet-Gateway und ein NAT-Gateway, und alle Ressourcen befinden sich in einer einzigen Region. Der Spitzenwert des ausgehenden Datenverkehrs wird 25 Gbit/s pro Availability Zone nicht überschreiten. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist die Erstellung einer zentralen Egress-VPC mit AWS Network Firewall. Diese Architektur ermöglicht eine zentralisierte, regelbasierte Filterung für alle AWS-Konten über ein Transit Gateway, was die Verwaltung vereinfacht und Skalierbarkeit bietet. AWS Network Firewall ist ein verwalteter Dienst, der hohe Leistung und Verfügbarkeit bietet und bis zu 400 Gbit/s Durchsatz unterstützt, was die Anforderung von 25 Gbit/s pro AZ erfüllt. Die Endpunkte in jeder AZ gewährleisten Hochverfügbarkeit. Die erste Option mit EC2-Instanzen und einem Open-Source-Proxy ist zwar technisch möglich, erfordert aber mehr Betriebsaufwand für Wartung, Skalierung und Patches im Vergleich zu einem verwalteten Dienst wie AWS Network Firewall. Die Bereitstellung von AWS Network Firewall oder EC2-Instanzen in jedem einzelnen Konto (Optionen 3 und 4) würde den Verwaltungsaufwand erheblich erhöhen und widerspricht der Anforderung einer zentralisierten Verwaltung für über 100 Konten.