Ein Unternehmen nutzt AWS Network Firewall, um den ausgehenden Datenverkehr für viele VPCs in einem Konto zu schützen. EC2-Instances hosten Anwendungen und sind mit ihrem Anwendungsnamen getaggt; die Instances laufen in Auto Scaling-Gruppen. Eine Network Firewall Stateful Rule Group muss aktuell bleiben, wenn Instances hoch- und herunterskaliert werden. Welcher Ansatz erfordert den geringsten Implementierungs- und Verwaltungsaufwand?

Die Erstellung einer Ressourcengruppe für jeden Anwendungsnamen und das Verweisen auf deren ARN in der Stateful Rule Group ist die effizienteste Lösung. AWS Network Firewall unterstützt das Filtern basierend auf Ressourcengruppen, die dynamisch aktualisiert werden, wenn Instances in Auto Scaling-Gruppen hoch- oder herunterskaliert werden. Dies reduziert den Implementierungs- und Verwaltungsaufwand erheblich, da keine manuellen Updates oder benutzerdefinierten Skripte erforderlich sind. Netzwerk-ACLs sind nicht für die Verwendung in Network Firewall Stateful Rule Groups vorgesehen. Präfixlisten sind statisch und müssten manuell aktualisiert werden, was bei Auto Scaling unpraktisch ist. Eine Lambda-Funktion zur Aktualisierung der Rule Group wäre eine benutzerdefinierte Lösung, die einen höheren Implementierungs- und Wartungsaufwand erfordert.