Ein Unternehmen stellt Anwendungen in mehreren VPCs bereit, die an ein Transit Gateway angeschlossen sind. Jede VPC, die internetgebundenen Datenverkehr sendet, muss über eine Shared Services VPC geleitet werden. Jedes VPC-Subnetz verwendet die Standard-VPC-Routingtabelle, die auf das Transit Gateway verweist; das Transit Gateway verwendet seine Standard-Routingtabelle für VPC-Anhänge. Ein Sicherheitsaudit zeigt, dass eine EC2-Instance in einer VPC mit EC2-Instances in jeder anderen Unternehmens-VPC kommunizieren kann. Jede VPC sollte nur mit einem bestimmten, begrenzten Satz autorisierter VPCs kommunizieren können. Was sollte der Lösungsarchitekt tun, um dies durchzusetzen?

Die Erstellung einer dedizierten Transit Gateway-Routingtabelle für jeden VPC-Anhang und die Konfiguration von Routen, sodass jeder Anhang nur seine autorisierten VPCs erreicht, ist die korrekte Lösung. Dies ermöglicht eine granulare Kontrolle über den Datenverkehr zwischen VPCs auf Transit Gateway-Ebene. Jede Routingtabelle kann so konfiguriert werden, dass sie nur Routen zu den spezifischen VPCs enthält, mit denen die angehängte VPC kommunizieren darf. Die Änderung von Netzwerk-ACLs oder Sicherheitsgruppen ist nicht ideal, da diese auf Subnetz- bzw. Instance-Ebene arbeiten und die Konfiguration bei vielen VPCs und Kommunikationsmustern sehr komplex und fehleranfällig wird. Die Änderung der Hauptroutingtabelle in jeder VPC würde das Problem nicht lösen, da der Datenverkehr immer noch über das Transit Gateway geleitet wird, das dann die endgültige Routing-Entscheidung trifft.