Un'applicazione è in esecuzione su tre istanze EC2 distribuite su tre zone di disponibilità, dietro un Network Load Balancer (NLB). L'amministratore deve limitare il traffico delle istanze in modo che siano consentite solo le richieste provenienti dall'NLB. Quale approccio soddisfa questo requisito con il minor lavoro operativo?

La risposta corretta è impostare le regole in entrata del gruppo di sicurezza delle istanze EC2 in modo che accettino il traffico solo dal gruppo di sicurezza associato all'NLB. Questo è l'approccio più semplice e con il minor lavoro operativo perché i gruppi di sicurezza possono fare riferimento ad altri gruppi di sicurezza. In questo modo, le istanze EC2 accetteranno il traffico solo dall'NLB, senza dover gestire indirizzi IP specifici che potrebbero cambiare. Le altre opzioni sono meno efficienti o non corrette: Impostare le regole in entrata del gruppo di sicurezza in modo che accettino il traffico solo dalle interfacce di rete elastiche dell'NLB richiederebbe di identificare e aggiornare manualmente gli indirizzi IP delle interfacce di rete dell'NLB, che possono cambiare. Creare una network ACL per le sottoreti dell'applicazione e consentire il traffico in entrata solo dagli intervalli CIDR dell'NLB è più complesso e meno granulare rispetto all'uso dei gruppi di sicurezza, e gli intervalli CIDR dell'NLB potrebbero non essere statici o facilmente identificabili. Distribuire un firewall di terze parti su un'istanza EC2 separata aggiunge complessità, costi e un punto di errore aggiuntivo, andando contro il requisito del minor lavoro operativo.