ある会社が、新しいAWSアカウントに新しいアプリケーション用のVPCを作成しました。このVPCは、同じリージョンにある別の既存アカウントのVPCとピアリングされており、データベースにアクセスできます。アプリケーションVPCではAmazon EC2インスタンスが頻繁に作成および終了されますが、そのうちの一部のみが、ピアリングされたVPC内のデータベースにTCPポート1521経由で接続する必要があります。セキュリティエンジニアは、必要なインスタンスのみがデータベースに到達できるようにする必要があります。エンジニアは何をすべきですか？

このオプションは、最小特権の原則に従い、必要なインスタンスのみがデータベースにアクセスできるようにします。アプリケーションVPCのセキュリティグループは、データベースへのアクセスが必要なEC2インスタンスにのみアタッチされ、このセキュリティグループをソースとしてデータベースVPCのセキュリティグループのインバウンドルールで参照することで、特定のインスタンスからのトラフィックのみを許可します。 他の選択肢は、VPC CIDR全体からのアクセスを許可したり、ネットワークACLとセキュリティグループの組み合わせが不適切であったりするため、セキュリティが過度に緩くなる可能性があります。特に、VPC CIDR全体を許可すると、データベースにアクセスすべきでないインスタンスもアクセスできるようになり、セキュリティリスクが高まります。