Una empresa utiliza AWS Network Firewall para proteger el tráfico saliente de varias VPC en una cuenta. Las instancias EC2 alojan aplicaciones y están etiquetadas con el nombre de su aplicación; las instancias se ejecutan en grupos de Auto Scaling. Un grupo de reglas con estado de Network Firewall debe mantenerse actualizado a medida que las instancias se escalan y reducen. ¿Qué enfoque requiere el menor esfuerzo de implementación y administración?

La opción correcta es crear un grupo de recursos para cada nombre de aplicación y hacer referencia al ARN del grupo de recursos en el grupo de reglas con estado. AWS Network Firewall admite el filtrado basado en grupos de recursos, lo que permite que las reglas hagan referencia dinámicamente a los recursos de AWS que coinciden con los criterios del grupo de recursos. Cuando las instancias EC2 escalan o reducen, el grupo de recursos se actualiza automáticamente, y el Network Firewall aplica las reglas sin intervención manual, minimizando el esfuerzo de implementación y administración. Las ACL de red (Network ACLs) son a nivel de subred y no pueden filtrar basándose en etiquetas de instancias EC2 individuales. Las listas de prefijos requieren la actualización manual de las direcciones IP, lo cual es ineficiente con grupos de Auto Scaling. Una función Lambda para actualizar direcciones IP directamente en el grupo de reglas con estado sería más compleja de implementar y mantener, ya que requeriría lógica para detectar cambios y actualizar las reglas.