Une entreprise va déployer une application web interne sur AWS qui doit être accessible uniquement depuis les bureaux de l'entreprise. L'application doit télécharger les correctifs de sécurité depuis Internet. L'entreprise dispose d'un VPC et d'un VPN AWS Site-to-Site vers le bureau. Quelle conception répond à ces exigences de manière sécurisée ?

La bonne solution déploie l'application dans des sous-réseaux privés derrière un ALB interne, ce qui garantit qu'elle n'est pas directement accessible depuis Internet. Le groupe de sécurité de l'ALB est configuré pour n'autoriser le trafic que depuis le bloc CIDR du bureau via le VPN Site-to-Site, répondant ainsi à l'exigence d'accès restreint. Les passerelles NAT dans les sous-réseaux publics, associées à une passerelle Internet, permettent aux instances de l'application de télécharger les correctifs de sécurité depuis Internet sans être publiquement accessibles. Les autres options sont incorrectes car : La première option expose l'ALB et les instances à Internet (0.0.0.0/0), ce qui est contraire à l'exigence d'accès interne. La troisième option utilise un ALB interne mais place les instances dans des sous-réseaux publics, les exposant inutilement. Les passerelles NAT dans des sous-réseaux privés ne permettraient pas l'accès Internet sortant. La quatrième option utilise un ALB public, ce qui rend l'application accessible depuis Internet, et la règle de groupe de sécurité sortante ne contrôle pas l'accès entrant.