Eine Anwendung läuft auf drei EC2-Instances in drei Availability Zones hinter einem Network Load Balancer (NLB). Der Administrator muss den Instance-Traffic so einschränken, dass nur Anfragen vom NLB zugelassen werden. Welcher Ansatz erfüllt diese Anforderung mit dem geringsten Betriebsaufwand?

Die korrekte Option ist, die Inbound-Regeln der Sicherheitsgruppe der EC2-Instances so festzulegen, dass sie Traffic nur von der mit dem NLB verknüpften Sicherheitsgruppe akzeptieren. Dies ist der einfachste und betriebsärmste Ansatz, da Sicherheitsgruppen auf Instanzebene arbeiten und Referenzen zu anderen Sicherheitsgruppen zulassen. Der NLB leitet den Client-IP-Verkehr direkt an die Zielinstanzen weiter. Wenn die Sicherheitsgruppe des NLB als Quelle in den Sicherheitsgruppen der EC2-Instanzen angegeben wird, erlaubt dies den gesamten Traffic, der durch den NLB geleitet wird. Die Option, nur Traffic von den Elastic Network Interfaces (ENIs) des NLB zu akzeptieren, ist ineffizient, da ENIs dynamisch sein können und sich ändern können. Die Erstellung einer Netzwerk-ACL für die Anwendungs-Subnetze und das Erlauben von Traffic nur von den CIDR-Bereichen des NLB ist ebenfalls umständlich, da NLB-IP-Adressen und CIDR-Bereiche nicht statisch sind und sich ändern können, was zu hohem Wartungsaufwand führen würde. Eine Drittanbieter-Firewall ist eine unnötig komplexe und teure Lösung für diese Anforderung und erhöht den Betriebsaufwand erheblich.