Un'azienda sta creando un'applicazione web multi-tier con: server web e server delle applicazioni su gruppi con scalabilità automatica Amazon EC2 e un'istanza DB Amazon RDS. L'architetto di soluzioni deve limitare l'accesso ai server delle applicazioni in modo che solo i server web possano raggiungerli. Quale soluzione soddisfa questo requisito?

La soluzione corretta è implementare un Application Load Balancer (ALB) e configurare i gruppi di sicurezza. Un ALB è ideale per applicazioni HTTP/HTTPS e può distribuire il traffico ai server delle applicazioni nel gruppo con scalabilità automatica. I gruppi di sicurezza sono firewall a livello di istanza che possono essere configurati per consentire il traffico solo da specifiche origini, come i server web. In questo caso, il gruppo di sicurezza dei server delle applicazioni verrebbe configurato per accettare connessioni solo dal gruppo di sicurezza dei server web (o dall'ALB che riceve traffico dai server web). Le altre opzioni sono meno adatte: AWS PrivateLink e VPC endpoint sono per la connettività privata tra VPC o servizi AWS, non per limitare l'accesso tra tier all'interno della stessa applicazione in questo modo. Un Network Load Balancer (NLB) opera a livello di trasporto (Layer 4) e, sebbene possa bilanciare il carico, non offre le funzionalità avanzate di routing e filtraggio a livello di applicazione (Layer 7) di un ALB, che sono più appropriate per questa architettura. Inoltre, l'utilizzo di ACL di rete è meno granulare e più complesso da gestire rispetto ai gruppi di sicurezza per questo tipo di controllo dell'accesso tra istanze all'interno di un VPC.