Ein Unternehmen wird eine Webanwendung auf EC2-Instances hosten und muss den Datenverkehr über die Instances hinweg mittels Load Balancing verteilen. Eine Sicherheitsanforderung schreibt eine End-to-End-Verschlüsselung zwischen dem Client und den Webservern vor (TLS vom Client über den Load Balancer zu den Instances). Welches Design erfüllt diese Anforderung?

Die korrekte Antwort beschreibt End-to-End-Verschlüsselung. Der Application Load Balancer (ALB) terminiert die TLS-Verbindung vom Client mit einem ACM-Zertifikat und stellt dann eine neue TLS-Verbindung zu den EC2-Instances her, die jeweils ein eigenes SSL-Zertifikat (hier ein Drittanbieter-Zertifikat) installiert haben. Dies gewährleistet, dass der gesamte Kommunikationspfad verschlüsselt ist. Die Option, das ACM-Zertifikat zu exportieren und auf den Instances zu installieren, ist falsch, da ACM-Zertifikate nicht exportierbar sind. Die CloudFront-Option bietet keine End-to-End-Verschlüsselung bis zu den Instances, sondern nur bis zu CloudFront und dann zum Origin. Der Network Load Balancer (NLB) unterstützt keine SSL-Terminierung mit ACM-Zertifikaten direkt; er würde ein Drittanbieter-Zertifikat erfordern, aber die primäre Rolle des NLB ist Layer-4-Load-Balancing, nicht Layer-7-SSL-Terminierung.