Vous concevez un VPC avec deux sous-réseaux publics pour un équilibreur de charge, deux sous-réseaux privés pour des serveurs web et deux sous-réseaux privés pour MySQL. Les serveurs web ne servent que du HTTPS. Un groupe de sécurité pour l'équilibreur de charge autorise déjà le port 443 depuis 0.0.0.0/0. La politique de l'entreprise exige le principe du moindre privilège pour chaque ressource. Quelle configuration supplémentaire devez-vous appliquer pour répondre à cette exigence ?

La bonne réponse applique le principe du moindre privilège. Les serveurs web ne doivent recevoir du trafic HTTPS que de l'équilibreur de charge, pas de n'importe quelle adresse IP sur Internet (0.0.0.0/0). En spécifiant l'équilibreur de charge comme source dans le groupe de sécurité des serveurs web, vous limitez l'accès. De même, les serveurs MySQL ne doivent être accessibles que par les serveurs web, et non par d'autres sources. L'utilisation de groupes de sécurité est la méthode recommandée pour contrôler le trafic au niveau de l'instance. Les ACL réseau (NACL) sont sans état et opèrent au niveau du sous-réseau, ce qui les rend moins granulaires et plus complexes à gérer pour ce scénario. Autoriser 0.0.0.0/0 pour les serveurs web violerait le principe du moindre privilège.