アプリケーションは、Network Load Balancer (NLB) の背後にある3つのアベイラビリティーゾーンにわたる3つのEC2インスタンスで実行されます。管理者は、NLB からの要求のみが許可されるようにインスタンストラフィックを制限する必要があります。運用作業が最も少ないこの要件を満たすアプローチはどれですか？

このアプローチは、セキュリティグループ参照を使用するため、運用上のオーバーヘッドが最も少なくなります。EC2インスタンスのセキュリティグループのインバウンドルールでNLBのセキュリティグループを参照すると、NLBのIPアドレスが変更されても自動的にトラフィックが許可されます。 他の選択肢は以下の理由で適切ではありません。 NLBのElastic Network Interfaceからのトラフィックを許可するように設定すると、NLBのENIが変更された場合に手動でルールを更新する必要があり、運用上のオーバーヘッドが増加します。 ネットワークACLはステートレスであり、NLBのCIDR範囲は動的に変化する可能性があるため、管理が複雑になります。また、NLBのIPアドレスはパブリックIPアドレスであるため、この方法ではインターネットからの直接アクセスを完全に防ぐことはできません。 サードパーティのファイアウォールをデプロイすると、追加のコスト、管理、および複雑さが発生します。