Un arquitecto de soluciones está diseñando una VPC con múltiples subredes para alojar instancias EC2 e instancias de base de datos de Amazon RDS. La VPC tiene seis subredes en dos zonas de disponibilidad: en cada AZ hay una subred pública, una subred privada y una subred dedicada a la base de datos. Solo las instancias EC2 de las subredes privadas deben poder acceder a las bases de datos de RDS. ¿Qué solución impone este requisito?

La opción correcta es crear un grupo de seguridad que permita el tráfico entrante del grupo de seguridad asignado a las instancias en las subredes privadas y asociarlo a las instancias de base de datos. Los grupos de seguridad actúan como firewalls virtuales a nivel de instancia, controlando el tráfico de entrada y salida. Al permitir el tráfico solo desde el grupo de seguridad de las instancias privadas, se asegura que solo esas instancias puedan acceder a las bases de datos. Las otras opciones son incorrectas: Crear una nueva tabla de ruteo no controla el acceso a nivel de instancia; las tablas de ruteo dirigen el tráfico de red entre subredes, no restringen el acceso entre instancias dentro de la misma VPC basándose en su tipo. Crear un grupo de seguridad que deniegue el tráfico de las subredes públicas es una regla de denegación, pero es más efectivo y seguro usar una regla de permiso explícita desde el origen deseado. La conexión de emparejamiento (peering) se usa para conectar VPCs diferentes, no para controlar el acceso entre subredes dentro de la misma VPC.