Une entreprise exécute un domaine Amazon SageMaker AI dans un sous-réseau public d'un VPC nouvellement créé. Le réseau est configuré et les ingénieurs peuvent accéder au domaine. L'entreprise a découvert un trafic suspect provenant d'une adresse IP spécifique et doit bloquer cette IP. Quelle modification de la configuration réseau permettra d'y parvenir ?

La bonne réponse est de créer une règle entrante de liste de contrôle d'accès réseau (ACL) qui refuse le trafic provenant de l'adresse IP spécifique et d'appliquer cette règle à l'ACL réseau par défaut du sous-réseau où réside le domaine. Les ACL réseau opèrent au niveau du sous-réseau et peuvent bloquer ou autoriser le trafic en fonction des adresses IP source/destination, des ports, etc. Elles sont sans état, ce qui signifie que les règles entrantes et sortantes doivent être définies séparément. Les groupes de sécurité (première option) sont des pare-feu au niveau de l'instance et sont avec état. Bien qu'ils puissent bloquer le trafic, une ACL réseau est plus appropriée pour bloquer le trafic au niveau du sous-réseau pour toutes les ressources qu'il contient. Créer une variante fantôme (troisième option) ou modifier la table de routage VPC (quatrième option) ne sont pas des mécanismes conçus pour bloquer le trafic indésirable d'une adresse IP spécifique.