Ein zentralisierter Logging-Dienst, der auf EC2 läuft, empfängt Protokolle von Hunderten von AWS-Konten über AWS PrivateLink. Jedes Client-Konto verfügt über einen Interface VPC Endpoint für den Logging-Dienst. Der Logging-Dienst läuft auf EC2-Instanzen hinter einem Network Load Balancer (NLB), der über Subnetze verteilt ist. Clients können keine Protokolle über den VPC Endpoint senden. Welche Kombination von Schritten sollte ein Lösungsarchitekt unternehmen, um dies zu beheben? (Wählen Sie zwei.)

Die erste korrekte Antwort konzentriert sich auf Netzwerk-ACLs (NACLs), die zustandslose Filter auf Subnetz-Ebene sind. Da der Datenverkehr durch den NLB zu den EC2-Instanzen fließt, müssen die NACLs der Subnetze, in denen der NLB und die EC2-Instanzen gehostet werden, den bidirektionalen Datenverkehr zulassen. Wenn diese NACLs den Datenverkehr blockieren, kann keine Verbindung hergestellt werden. Die zweite korrekte Antwort konzentriert sich auf die Sicherheitsgruppe der EC2-Instanzen. Sicherheitsgruppen sind zustandsbehaftete Filter auf Instanz-Ebene. Da der NLB den Datenverkehr an die EC2-Instanzen weiterleitet, muss die Sicherheitsgruppe der EC2-Instanzen eingehenden Datenverkehr von den NLB-Subnetzen oder der Sicherheitsgruppe des NLB zulassen. Die anderen Optionen sind falsch, da: NACLs zwischen Interface-Endpoint-Subnetzen und EC2-Logging-Instanz-Subnetzen nicht direkt relevant sind, da der Datenverkehr über den NLB geleitet wird. Die Sicherheitsgruppe der EC2-Instanzen muss den Datenverkehr vom NLB zulassen, nicht direkt von den Clients, da der NLB als Vermittler fungiert. NLBs haben keine Sicherheitsgruppen.