Le VPC my-project possède le sous-réseau subnet-a 10.128.0.0/20 (bases de données) et le sous-réseau subnet-b 172.16.0.0/24 (applications et web). Autorisez uniquement le trafic de base de données (TCP/3306) des serveurs d'applications vers les serveurs de bases de données. Quelle configuration de pare-feu permet d'y parvenir ?

La bonne réponse utilise des comptes de service pour identifier les sources et les cibles, ce qui est une méthode sécurisée et granulaire. Le compte de service sa-app est associé aux serveurs d'applications (source) et sa-db aux serveurs de bases de données (cible). La règle de pare-feu autorise le trafic TCP sur le port 3306 entre ces groupes. La première option est incorrecte car elle mélange les tags réseau pour la source et les comptes de service pour la cible, ce qui est une configuration incohérente et moins précise. La troisième option est incorrecte car elle inclut source-ranges 10.128.0.0/20, ce qui est le sous-réseau des bases de données, pas des applications. De plus, spécifier à la fois source-ranges et source-service-accounts peut être redondant ou source de confusion. La quatrième option est incorrecte car elle utilise des tags réseau (source-tags et target-tags) au lieu de comptes de service. Bien que les tags puissent fonctionner, les comptes de service offrent une meilleure isolation et un contrôle d'accès plus fin, car ils sont liés à l'identité de l'instance plutôt qu'à un simple tag qui peut être appliqué manuellement. De plus, source-ranges 10.128.0.0/20 est incorrect pour la source.