I server di database sono in esecuzione nella subnet-a; i server delle applicazioni e web sono in esecuzione nella subnet-b della VPC predefinita. Consentire il traffico del database solo dai server delle applicazioni ai server di database. Cosa dovresti fare?

La soluzione corretta utilizza gli account di servizio per identificare in modo sicuro e granulare le istanze. Creando account di servizio dedicati (sa-app e sa-db) e assegnandoli alle rispettive istanze, si può definire una regola firewall in entrata che permette il traffico solo dalle istanze con l'account di servizio sa-app verso le istanze con l'account di servizio sa-db. Questo garantisce che solo i server delle applicazioni autorizzati possano comunicare con i server di database. Le altre opzioni sono meno sicure o non implementano correttamente il requisito: l'uso di tag di rete per la destinazione non è supportato in modo nativo per le regole in entrata con account di servizio di origine, e l'opzione che mescola tag e account di servizio per origine/destinazione non è una configurazione standard o efficiente per questo scenario.