Une application s'exécute sur trois instances EC2 réparties sur trois zones de disponibilité derrière un Network Load Balancer (NLB). L'administrateur doit restreindre le trafic des instances de manière à n'autoriser que les requêtes provenant du NLB. Quelle approche répond à cette exigence avec le moins de travail opérationnel ?

La bonne approche consiste à définir les règles de trafic entrant du groupe de sécurité des instances EC2 pour accepter le trafic uniquement du groupe de sécurité associé au NLB. Cette méthode est la plus simple et la plus efficace car les groupes de sécurité peuvent référencer d'autres groupes de sécurité par leur ID, ce qui permet au trafic de circuler entre eux sans avoir besoin de connaître les adresses IP spécifiques du NLB. Le NLB est un service géré par AWS et ses adresses IP peuvent changer. Les autres options sont moins optimales. Définir les règles pour accepter le trafic uniquement des interfaces réseau élastiques du NLB est moins pratique car les adresses IP des interfaces du NLB peuvent changer, nécessitant des mises à jour manuelles. Créer une ACL réseau pour les sous-réseaux est moins granulaire et plus complexe à gérer que les groupes de sécurité pour ce cas d'utilisation, car les ACL réseau fonctionnent au niveau du sous-réseau et ne peuvent pas référencer des groupes de sécurité. Déployer un pare-feu tiers ajoute une complexité opérationnelle et des coûts inutiles, alors qu'une solution native AWS est disponible et plus simple.