Une architecture à deux niveaux comprend un sous-réseau public pour les serveurs web et un sous-réseau de base de données pour une instance de base de données Amazon RDS for MySQL. Les serveurs web du sous-réseau public doivent être accessibles depuis Internet sur le port 443. L'instance de base de données doit être accessible uniquement aux serveurs web sur le port 3306. Quelle combinaison d'étapes l'architecte de solutions doit-il suivre pour répondre à ces exigences ? (Choisissez-en deux.)

La première étape correcte consiste à créer un groupe de sécurité pour les serveurs web et à autoriser le trafic entrant sur le port 443 depuis n'importe quelle adresse IP (0.0.0.0/0). Cela rend les serveurs web accessibles depuis Internet comme requis. La deuxième étape correcte est de créer un groupe de sécurité pour l'instance de base de données et d'autoriser le trafic entrant sur le port 3306 uniquement depuis le groupe de sécurité des serveurs web. Cela garantit que seule l'application web peut accéder à la base de données, répondant ainsi à l'exigence de sécurité. Les autres options sont incorrectes car : Une ACL réseau pour refuser le trafic sortant sur le port 3306 n'est pas nécessaire pour la communication entre les serveurs web et la base de données, car les groupes de sécurité gèrent déjà cela. Autoriser le trafic provenant du bloc CIDR du sous-réseau public pour la base de données est moins précis et moins sécurisé que d'autoriser spécifiquement le groupe de sécurité des serveurs web. Refuser tout le trafic sauf celui du groupe de sécurité des serveurs web n'est pas la manière standard de configurer les groupes de sécurité ; ils sont par défaut restrictifs et nécessitent des règles d'autorisation explicites.