Une entreprise déploie une application web à deux niveaux dans un VPC. Le niveau web utilise un groupe Auto Scaling dans des sous-réseaux publics répartis sur plusieurs zones de disponibilité. Le niveau de base de données est une instance de base de données Amazon RDS for MySQL dans des sous-réseaux privés. Le niveau web ne peut pas se connecter à la base de données, bien que la base de données soit en cours d'exécution. Les ACL réseau, les groupes de sécurité et les tables de routage sont toujours configurés par défaut. Que devrait recommander un architecte de solutions pour corriger l'application ?

La bonne réponse est d'ajouter une règle entrante au groupe de sécurité de l'instance RDS pour autoriser le trafic provenant du groupe de sécurité du niveau web. Par défaut, les groupes de sécurité bloquent tout le trafic entrant. Pour permettre aux instances du niveau web de se connecter à la base de données, le groupe de sécurité de la base de données doit avoir une règle entrante qui autorise le trafic sur le port MySQL (3306) provenant du groupe de sécurité associé aux instances du niveau web. Les ACL réseau par défaut autorisent tout le trafic entrant et sortant, donc une règle explicite n'est pas nécessaire. Les tables de routage par défaut dans un VPC autorisent la communication entre les sous-réseaux, donc une nouvelle route n'est pas requise. Déployer les instances dans des VPC distincts compliquerait inutilement l'architecture et n'est pas la solution au problème de connectivité actuel.