Un'azienda implementerà un'applicazione web interna su AWS che deve essere accessibile solo dall'ufficio aziendale. L'applicazione deve scaricare patch di sicurezza da internet. L'azienda dispone di una VPC e di una AWS Site-to-Site VPN verso l'ufficio. Quale architettura soddisfa questi requisiti in modo sicuro?

L'opzione corretta soddisfa tutti i requisiti di sicurezza e funzionalità. L'applicazione web in sottoreti private e un ALB interno garantiscono che l'applicazione non sia direttamente accessibile da Internet, ma solo tramite la VPN aziendale, come richiesto. L'impostazione del security group dell'ALB per consentire il traffico solo dal blocco CIDR dell'ufficio aziendale rafforza ulteriormente questa restrizione. I NAT Gateway nelle sottoreti pubbliche, insieme a un Internet Gateway, permettono alle istanze EC2 nelle sottoreti private di scaricare patch di sicurezza da Internet, soddisfacendo il requisito di aggiornamento. Le opzioni errate presentano vulnerabilità di sicurezza o non soddisfano i requisiti: La prima opzione rende l'applicazione accessibile pubblicamente (ALB pubblico, security group 0.0.0.0/0), violando il requisito di accesso solo dall'ufficio. La terza opzione posiziona l'ALB interno in sottoreti pubbliche e i NAT Gateway in sottoreti private, una configurazione non standard e inefficace per l'accesso a Internet dalle istanze private. Inoltre, impostare la destinazione in uscita del security group non controlla l'accesso in entrata all'ALB. La quarta opzione utilizza un ALB pubblico, rendendo l'applicazione accessibile da Internet, e il security group in uscita non controlla l'accesso all'applicazione.