Une entreprise développe une application web multiniveau avec : des serveurs web et d'application sur des groupes Auto Scaling Amazon EC2, et une instance de base de données Amazon RDS. L'architecte de solutions doit restreindre l'accès aux serveurs d'application afin que seuls les serveurs web puissent les atteindre. Quelle solution répond à cette exigence ?

La solution correcte consiste à utiliser un Application Load Balancer (ALB) devant les serveurs d'application et à configurer les groupes de sécurité. Un ALB distribue le trafic entrant vers les instances EC2 dans le groupe Auto Scaling des serveurs d'application. Les groupes de sécurité sont des pare-feu au niveau de l'instance qui contrôlent le trafic entrant et sortant. En configurant le groupe de sécurité des serveurs d'application pour n'autoriser les connexions que depuis le groupe de sécurité des serveurs web, on assure que seuls les serveurs web peuvent communiquer avec les serveurs d'application, répondant ainsi à l'exigence de restriction d'accès. Les autres options sont incorrectes car : AWS PrivateLink et les VPC endpoints sont utilisés pour établir des connexions privées entre VPC ou vers des services AWS, pas pour restreindre l'accès entre des couches d'application au sein du même VPC. L'utilisation d'une Network ACL (NACL) est possible, mais les groupes de sécurité sont plus granulaires et recommandés pour le contrôle du trafic au niveau de l'instance ou de l'interface réseau, tandis que les NACL opèrent au niveau du sous-réseau. Un Network Load Balancer (NLB) est également moins adapté pour ce cas d'usage car il opère au niveau de la couche 4 (transport) et n'offre pas les fonctionnalités de routage basées sur le contenu d'un ALB, qui est plus approprié pour les applications web.