Ein Unternehmen betreibt eine Anwendung in us-east-1 hinter einem ALB, der HTTPS-Anfragen von Verkaufsautomaten weltweit empfängt. Sie planen, AWS Global Accelerator zu verwenden und die statischen IPs des Accelerators in die Verkaufsautomaten zu programmieren, damit die Anwendung nur über den Accelerator erreichbar ist und nicht direkt über die Internet-zugängliche ALB-URL. Welche Konfiguration erzwingt den Zugriff nur über den Accelerator?

Die korrekte Antwort stellt sicher, dass der ALB nicht direkt über das Internet erreichbar ist, sondern nur über den Global Accelerator. Indem der ALB in privaten Subnetzen platziert wird und keine Routen zum Internet-Gateway in den Routing-Tabellen dieser Subnetze konfiguriert werden, wird der direkte Internetzugriff auf den ALB verhindert. Der Global Accelerator kann den ALB als Endpunkt erreichen, da er innerhalb des AWS-Netzwerks agiert. Die Sicherheitsgruppe des ALB muss eingehenden Datenverkehr vom Internet zulassen, da Global Accelerator die Client-IP-Adressen beibehält und die Anfragen aus dem AWS-Netzwerk kommen. Die anderen Optionen sind falsch, weil: Das Platzieren des ALB in privaten Subnetzen ohne Routen zum IGW, aber mit einer Sicherheitsgruppe, die nur Traffic vom Accelerator zulässt, wäre zu restriktiv, da Global Accelerator die ursprünglichen Client-IPs beibehält. Das Platzieren des ALB in öffentlichen Subnetzen oder in privaten Subnetzen mit Routen zum IGW würde den direkten Internetzugriff auf den ALB ermöglichen, was die Anforderung, den Zugriff nur über den Accelerator zu erzwingen, verletzen würde.