ある企業が、新しいパブリックウェブアプリケーションをAWSにデプロイする予定です。このアプリケーションには、Amazon EC2インスタンスで実行されるウェブサーバー層と、Amazon RDS for MySQL DBインスタンスを使用するデータベース層があります。アプリケーションは安全で、動的IPアドレスを持つグローバルな顧客がアクセスできる必要があります。ソリューションアーキテクトは、これらの要件を満たすためにセキュリティグループをどのように設定すべきですか？

ウェブサーバーはパブリックアプリケーションとしてグローバルな顧客にアクセスされるため、HTTPS (ポート443) へのインバウンドトラフィックを0.0.0.0/0 (すべてのIPアドレス) から許可する必要があります。これにより、動的IPアドレスを持つ顧客を含む、どこからでもアクセスが可能になります。データベース層はウェブサーバー層のみからアクセスされるべきであり、インターネットに直接公開すべきではありません。したがって、DBインスタンスのセキュリティグループは、ポート3306へのインバウンドトラフィックをウェブサーバーのセキュリティグループからのみ許可するように設定します。これにより、最小権限の原則が適用され、セキュリティが向上します。 他の選択肢は、顧客のIPアドレスを特定できない、またはデータベースをインターネットに公開してしまうため不適切です。