Una empresa ejecuta una aplicación web en instancias de Amazon EC2 en una subred privada de una VPC. Un Application Load Balancer (ALB) en las subredes públicas dirige el tráfico a esas instancias EC2. La empresa quiere restringir el tráfico entrante a las instancias EC2 para que solo el ALB pueda acceder a ellas, impidiendo el acceso desde cualquier otra fuente. ¿Qué solución cumple estos requisitos?

La solución correcta es configurar el security group de las instancias EC2 para permitir únicamente el tráfico que proviene del security group del ALB. Esto se logra creando una regla de entrada en el security group de las instancias EC2 que especifique el ID del security group del ALB como origen. De esta manera, solo el tráfico originado por el ALB podrá alcanzar las instancias EC2, cumpliendo con el requisito de restricción. Las otras opciones son incorrectas: Configurar una ruta en una tabla de ruteo para dirigir el tráfico desde internet a las direcciones IP privadas de las instancias EC2 no es una medida de seguridad; las tablas de ruteo controlan el flujo de tráfico, no la autorización. Además, las instancias están en una subred privada, por lo que no deberían ser accesibles directamente desde internet. Mover las instancias EC2 a la subred pública y asignarles IPs elásticas las expondría directamente a internet, lo cual es contrario al requisito de restringir el acceso solo al ALB. Configurar el security group del ALB para permitir cualquier tráfico TCP en cualquier puerto es una buena práctica para el ALB, ya que es el punto de entrada público, pero no restringe el tráfico a las instancias EC2; solo controla lo que llega al ALB.