Un'azienda esegue un'applicazione web su istanze Amazon EC2 in una sottorete privata di una VPC. Un Application Load Balancer (ALB) nelle sottoreti pubbliche indirizza il traffico verso tali istanze EC2. L'azienda desidera limitare il traffico in entrata verso le istanze EC2 in modo che solo l'ALB possa accedervi, impedendo l'accesso da qualsiasi altra fonte. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è configurare il gruppo di sicurezza delle istanze EC2 per consentire il traffico solo dal gruppo di sicurezza dell'ALB. I gruppi di sicurezza agiscono come firewall virtuali a livello di istanza e possono fare riferimento ad altri gruppi di sicurezza come origine o destinazione del traffico. Questo garantisce che solo il traffico proveniente dall'ALB possa raggiungere le istanze EC2, soddisfacendo il requisito di isolamento. Le altre opzioni sono errate perché: Configurare una rotta in una tabella di routing per indirizzare il traffico da internet agli indirizzi IP privati delle istanze EC2 non è sufficiente per limitare l'accesso solo all'ALB e potrebbe esporre le istanze. Spostare le istanze EC2 nella sottorete pubblica e assegnare loro indirizzi IP elastici le renderebbe direttamente accessibili da internet, violando il requisito di sicurezza. Configurare il gruppo di sicurezza per l'ALB per consentire qualsiasi traffico TCP su qualsiasi porta è una configurazione per l'ALB, non per le istanze EC2, e non limita l'accesso alle istanze stesse.