Une entreprise exécute une application web sur des instances Amazon EC2 dans un sous-réseau privé de VPC. Un Application Load Balancer (ALB) dans les sous-réseaux publics dirige le trafic vers ces instances EC2. L'entreprise souhaite restreindre le trafic entrant vers les instances EC2 afin que seul l'ALB puisse y accéder, empêchant ainsi l'accès depuis toute autre source. Quelle solution répond à ces exigences ?

La bonne solution consiste à configurer le groupe de sécurité des instances EC2 pour autoriser uniquement le trafic provenant du groupe de sécurité de l'ALB. Cette approche utilise la fonctionnalité de référence de groupe de sécurité d'AWS, qui permet à un groupe de sécurité (celui des instances EC2) de faire confiance au trafic provenant d'un autre groupe de sécurité (celui de l'ALB). Cela garantit que seul l'ALB peut initier des connexions vers les instances EC2, bloquant ainsi tout autre accès direct. Les autres options sont incorrectes car : Configurer une route dans une table de routage pour diriger le trafic depuis Internet vers les adresses IP privées des instances EC2 ne sécurise pas l'accès et expose potentiellement les instances directement à Internet, contournant l'ALB. Déplacer les instances EC2 dans le sous-réseau public et leur attribuer des adresses IP élastiques les rendrait directement accessibles depuis Internet, ce qui est contraire à l'objectif de restriction d'accès. Configurer le groupe de sécurité de l'ALB pour autoriser tout trafic TCP sur n'importe quel port est une configuration pour l'ALB lui-même et n'affecte pas la restriction d'accès aux instances EC2 en aval.