Une Transit Gateway envoie des journaux de flux à un groupe de journaux CloudWatch Logs. Une fonction Lambda analyse les journaux et publie des notifications SNS lorsqu'un VPC génère du trafic que la Transit Gateway abandonne. Chaque notification comprend l'ID de compte, l'ID de VPC et le total des paquets abandonnés. Une nouvelle fonction Lambda abonnée à la rubrique SNS doit automatiquement empêcher le trafic identifié de quitter le VPC d'origine en appliquant une liste de contrôle d'accès réseau (ACL réseau) aux sous-réseaux d'attachement de la Transit Gateway dans ce VPC. Quelle approche répond à cette exigence ?

La bonne approche est de modifier la fonction Lambda existante pour inclure les adresses IP de destination du trafic abandonné dans la notification SNS. La nouvelle fonction Lambda doit ensuite créer une règle d'ACL réseau sortante (outbound) pour bloquer le trafic vers ces adresses IP de destination. Les ACL réseau sont sans état, ce qui signifie que les règles entrantes et sortantes doivent être définies séparément. Pour empêcher le trafic de quitter le VPC, une règle sortante est nécessaire. Bloquer les adresses IP de destination empêche le VPC d'envoyer de nouvelles connexions vers ces destinations. Les options incorrectes proposent des règles entrantes ou bloquent des adresses IP source. Une règle entrante bloquerait le trafic vers le VPC, et bloquer les adresses IP source empêcherait les hôtes de ce VPC de communiquer avec ces sources, mais pas de les quitter.