Les serveurs de base de données s'exécutent dans le sous-réseau A ; les serveurs d'applications et web s'exécutent dans le sous-réseau B du VPC par défaut. Autorisez le trafic de la base de données uniquement des serveurs d'applications vers les serveurs de base de données. Que devez-vous faire ?

La bonne approche consiste à utiliser des comptes de service pour l'authentification et le contrôle d'accès. En créant des comptes de service distincts pour les serveurs d'applications (sa-app) et les serveurs de base de données (sa-db), puis en attribuant ces comptes aux instances respectives, vous pouvez définir une règle de pare-feu d'entrée qui autorise spécifiquement le trafic provenant des instances associées à sa-app vers les instances associées à sa-db. Cela garantit que seuls les serveurs d'applications peuvent initier des connexions aux serveurs de base de données. Les autres options sont incorrectes car : L'utilisation de tags réseau pour la source et la destination dans une règle de sortie ne permet pas un contrôle précis basé sur l'identité des instances. Mélanger les comptes de service et les tags réseau, ou utiliser des plages d'IP de sous-réseau, est moins granulaire et sécurisé que l'approche basée sur les comptes de service. Une règle de sortie ne serait pas la méthode la plus directe pour contrôler le trafic vers les serveurs de base de données (règle d'entrée).