Ein Sicherheitsingenieur in einem großen Unternehmen verwaltet eine Datenverarbeitungsanwendung, die von 1.500 Tochtergesellschaften genutzt wird. Die Muttergesellschaft und alle Tochtergesellschaften nutzen AWS. Die Anwendung lauscht auf TCP-Port 443 und läuft auf Amazon EC2 hinter einem Network Load Balancer (NLB). Aus Compliance-Gründen darf die Anwendung nur für Tochtergesellschaften zugänglich sein und darf nicht dem öffentlichen Internet ausgesetzt werden. Der Ingenieur hat die öffentlichen und privaten CIDR-Bereiche für jede Tochtergesellschaft erhalten. Welche Lösung sollte der Ingenieur implementieren, um diese Zugriffsbeschränkungen durchzusetzen?

Die korrekte Lösung ist AWS PrivateLink. PrivateLink ermöglicht den sicheren und privaten Zugriff auf Dienste, die in einer VPC gehostet werden, von einer anderen VPC aus, ohne dass Daten über das öffentliche Internet übertragen werden. Durch die Erstellung eines PrivateLink-Endpunktdienstes im übergeordneten Konto und Schnittstellen-VPC-Endpunkten in den Tochterkonten kann der Zugriff auf die Anwendung privat und sicher erfolgen. Sicherheitsgruppen auf den EC2-Instanzen können den Zugriff vom PrivateLink-Endpunkt auf Port 443 zulassen. Die anderen Optionen sind weniger geeignet: Eine Netzwerk-ACL mit 1.500 CIDR-Bereichen wäre unübersichtlich und schwierig zu verwalten. Außerdem schützt sie nicht vor dem öffentlichen Internet, wenn sie nicht restriktiv genug ist. Eine Sicherheitsgruppe direkt am NLB oder an den EC2-Instanzen mit 1.500 CIDR-Bereichen wäre ebenfalls unübersichtlich und würde nicht die gewünschte private Konnektivität bieten, da der NLB öffentlich zugänglich sein müsste, um diese Regeln zu verarbeiten.