Une entreprise utilise AWS Network Firewall pour protéger le trafic sortant de nombreux VPC dans un seul compte. Les instances EC2 hébergent des applications et sont étiquetées avec leur nom d'application ; les instances s'exécutent dans des groupes Auto Scaling. Un groupe de règles avec état de Network Firewall doit rester à jour à mesure que les instances augmentent et diminuent. Quelle approche nécessite le moins d'effort de mise en œuvre et d'administration ?

La création d'un groupe de ressources pour chaque nom d'application et la référence de son ARN dans le groupe de règles avec état est la solution la plus efficace. AWS Network Firewall peut directement référencer les groupes de ressources, ce qui permet une mise à jour automatique des adresses IP des instances EC2 à mesure qu'elles sont ajoutées ou supprimées des groupes Auto Scaling. Cette approche minimise l'effort d'implémentation et d'administration car elle ne nécessite pas de logique personnalisée pour suivre les adresses IP. Les ACL réseau ne sont pas directement intégrées aux groupes de règles avec état de Network Firewall de cette manière. L'utilisation de listes de préfixes nécessiterait une gestion manuelle ou une automatisation complexe pour maintenir les adresses IP à jour. Une fonction Lambda serait une solution viable mais nécessiterait un développement, un déploiement et une maintenance supplémentaires, ce qui est plus d'effort que l'intégration native des groupes de ressources.