Nach der Migration einer dreistufigen Anwendung in eine VPC stellt das Sicherheitsteam fest, dass das Prinzip der geringsten Rechte (Least Privilege) nicht auf die Ingress- und Egress-Regeln der Amazon EC2-Sicherheitsgruppen zwischen den Ebenen angewendet wird. Was sollte ein Solutions Architect tun, um dies zu beheben?

Um das Prinzip der geringsten Rechte (Least Privilege) korrekt anzuwenden und die Kommunikation zwischen den Ebenen einer dreistufigen Anwendung zu steuern, sollte ein Solutions Architect Sicherheitsgruppenregeln erstellen, die die Sicherheitsgruppen-ID als Quelle oder Ziel verwenden. Dies ermöglicht es, den Datenverkehr zwischen spezifischen Sicherheitsgruppen zu autorisieren, anstatt breitere IP-Bereiche zu öffnen. Die Verwendung von Instanz-IDs ist nicht praktikabel, da diese sich ändern können, wenn Instanzen neu gestartet oder ersetzt werden. Die Verwendung des VPC-CIDR-Blocks oder von Subnetz-CIDR-Blöcken ist zu weit gefasst und verletzt das Prinzip der geringsten Rechte, da dies den Zugriff von allen Instanzen innerhalb dieses Bereichs erlauben würde, selbst wenn sie nicht zur Anwendung gehören.