Sie entwerfen eine VPC mit zwei öffentlichen Subnetzen für einen Load Balancer, zwei privaten Subnetzen für Webserver und zwei privaten Subnetzen für MySQL. Die Webserver stellen nur HTTPS bereit. Eine Sicherheitsgruppe für den Load Balancer erlaubt bereits Port 443 von 0.0.0.0/0. Die Unternehmensrichtlinie erfordert das Prinzip der geringsten Rechte (Least Privilege) für jede Ressource. Welche zusätzliche Konfiguration sollten Sie anwenden, um diese Anforderung zu erfüllen?

Die korrekte Option wendet das Prinzip der geringsten Rechte an, indem sie den Zugriff auf die Webserver auf den Load Balancer beschränkt und den Zugriff auf die MySQL-Server auf die Webserver beschränkt. Sicherheitsgruppen sind zustandsbehaftet und eignen sich gut für diese Art der instanzbasierten Zugriffskontrolle. Die erste falsche Option ist zu permissiv, indem sie 0.0.0.0/0 für die Webserver erlaubt, was dem Prinzip der geringsten Rechte widerspricht. Die zweite und vierte Option verwenden Netzwerk-ACLs, die zustandslos sind und auf Subnetz-Ebene arbeiten, was weniger granulare Kontrolle bietet als Sicherheitsgruppen und für diesen Anwendungsfall ungeeigneter ist. Außerdem würden sie sowohl Ingress- als auch Egress-Regeln erfordern, was die Konfiguration komplexer macht.