Una empresa está construyendo una aplicación web de varias capas con: servidores web y de aplicaciones en grupos de Auto Scaling de Amazon EC2, y una instancia de base de datos de Amazon RDS. El arquitecto de soluciones debe restringir el acceso a los servidores de aplicaciones para que solo los servidores web puedan acceder a ellos. ¿Qué solución cumple con este requisito?

La opción correcta es implementar un Application Load Balancer (ALB) y configurar el grupo de seguridad. Un ALB es ideal para aplicaciones web de varias capas, ya que opera en la capa 7 (HTTP/HTTPS) y puede distribuir el tráfico a los servidores de aplicaciones en el grupo de Auto Scaling. Los grupos de seguridad actúan como firewalls virtuales a nivel de instancia, permitiendo especificar qué tráfico de entrada y salida está permitido. Al configurar el grupo de seguridad de los servidores de aplicaciones para que solo acepte conexiones desde el grupo de seguridad de los servidores web (o sus IPs privadas), se restringe eficazmente el acceso. Las otras opciones son incorrectas porque: AWS PrivateLink y VPC Endpoints se usan para acceder a servicios de AWS de forma privada o para exponer servicios dentro de VPCs, no para restringir el acceso entre capas de una aplicación dentro de la misma VPC. Un Network Load Balancer (NLB) opera en la capa 4 (TCP/UDP) y, aunque podría usarse, un ALB es más adecuado para aplicaciones web y la restricción con ACL de red es menos granular que con grupos de seguridad para este escenario. Las ACL de red operan a nivel de subred, no de instancia.