Un'azienda distribuisce applicazioni in più VPC collegati a un Transit Gateway. Qualsiasi VPC che invia traffico verso Internet deve passare attraverso un VPC di servizi condivisi. Ogni sottorete VPC utilizza la tabella di routing VPC predefinita che punta al Transit Gateway; il Transit Gateway utilizza la sua tabella di routing predefinita per gli allegati VPC. Un audit di sicurezza mostra che un'istanza EC2 in un VPC può comunicare con istanze EC2 in qualsiasi altro VPC aziendale. Ogni VPC dovrebbe essere in grado di comunicare solo con un set specifico e limitato di VPC autorizzati. Cosa dovrebbe fare l'architetto di soluzioni per applicare questa restrizione?

La creazione di una tabella di routing Transit Gateway dedicata per ogni allegato VPC e la configurazione delle route per consentire la comunicazione solo con i VPC autorizzati è la soluzione più granulare ed efficace. Ciò permette di definire politiche di routing specifiche per ogni VPC, garantendo che il traffico possa raggiungere solo le destinazioni consentite. Le ACL di rete (Network ACL) operano a livello di sottorete e non sono ideali per gestire la connettività tra VPC tramite un Transit Gateway, inoltre la loro gestione su larga scala può essere complessa. I gruppi di sicurezza (Security Groups) controllano il traffico a livello di istanza e non sono adatti per imporre restrizioni di routing tra VPC. Modificare la tabella di routing principale in ogni VPC non offre la stessa granularità di controllo del routing a livello di Transit Gateway, e potrebbe essere meno scalabile.