VPC my-project hat subnet-a 10.128.0.0/20 (Datenbanken) und subnet-b 172.16.0.0/24 (Apps und Web). Erlauben Sie nur Datenbank-Traffic (TCP/3306) von Anwendungsservern zu Datenbankservern. Welche Firewall-Konfiguration erreicht dies?

Die korrekte Antwort verwendet Dienstkonten (Service Accounts) sowohl für die Quelle (Anwendungsserver) als auch für das Ziel (Datenbankserver). Dies ist die präziseste und sicherste Methode, um den Traffic zwischen spezifischen Instanzen zu steuern, da Dienstkonten direkt an Instanzen gebunden sind und eine granulare Identitätsverwaltung ermöglichen. Die Regel erlaubt explizit TCP-Port 3306 (MySQL/Datenbank-Traffic) von Instanzen, die mit sa-app verknüpft sind, zu Instanzen, die mit sa-db verknüpft sind. Die erste falsche Option verwendet ein Netzwerk-Tag für die Quelle, aber ein Dienstkonto für das Ziel. Dies ist inkonsistent und weniger präzise als die Verwendung von Dienstkonten für beide Seiten, da Tags breiter angewendet werden können. Die dritte falsche Option fügt source-ranges 10.128.0.0/20 hinzu, was unnötig ist, da die Dienstkonten bereits die Quelle definieren, und potenziell zu weit gefasst ist, wenn nicht alle Instanzen in diesem Bereich Anwendungsserver sind. Die vierte falsche Option verwendet Netzwerk-Tags für Quelle und Ziel. Obwohl dies funktionieren kann, sind Dienstkonten die empfohlene Methode für die Identifizierung von Instanzen in Firewall-Regeln, da sie eine stärkere Identität bieten und weniger anfällig für Fehlkonfigurationen sind als Tags, die leicht geändert werden können.