Sie haben einen übergeordneten Ordner mit Unterordnern für Abteilungen. Jede Abteilung verwaltet ihr Projekt und ihre VPC und kann VPC-Firewall-Regeln erstellen. VPCs müssen isoliert sein, sodass kein Datenverkehr zwischen ihnen fließt, aber die Abteilungen sollen Intra-VPC-Regeln verwalten. Wie erzwingen Sie eine globale Ablehnung von jeder anderen VPC, während Sie Intra-VPC-Zulassungen an die Abteilungsordner delegieren?

Die korrekte Option nutzt hierarchische Firewall-Richtlinien, um die Isolation zwischen VPCs zu erzwingen und gleichzeitig die Delegation der Intra-VPC-Regelverwaltung zu ermöglichen. Durch die Erstellung von zwei hierarchischen Firewall-Richtlinien pro Abteilungsordner wird dies erreicht. Die erste Regel mit hoher Priorität verwendet gotonext für den internen VPC-Verkehr (basierend auf privaten CIDRs), was bedeutet, dass die Auswertung der Regeln auf der nächsten Ebene (VPC-Firewall-Regeln) fortgesetzt wird. Dies erlaubt den Abteilungen, ihre eigenen Intra-VPC-Regeln zu definieren. Die zweite Regel mit niedrigerer Priorität blockiert jeglichen anderen Verkehr, wodurch die Isolation zwischen den VPCs sichergestellt wird. Die anderen Optionen sind unzureichend: Das Erstellen von VPC-Firewall-Regeln in jeder VPC mit Priorität 0 oder 1000 würde die Delegation der Intra-VPC-Regelverwaltung nicht ermöglichen oder wäre nicht effektiv genug, um die Isolation zu gewährleisten, da VPC-Firewall-Regeln nur innerhalb der jeweiligen VPC gelten und hierarchische Richtlinien übergeordnet sind. Die Option mit allow statt gotonext würde den internen VPC-Verkehr sofort zulassen, ohne dass die Abteilungen weitere eigene Regeln anwenden könnten, was der Anforderung widerspricht, dass Abteilungen Intra-VPC-Regeln verwalten sollen.