ロードバランサー用に2つのパブリックサブネット、ウェブサーバー用に2つのプライベートサブネット、MySQL用に2つのプライベートサブネットを持つVPCを設計しています。ウェブサーバーはHTTPSのみを提供します。ロードバランサーのセキュリティグループは、すでに0.0.0.0/0からのポート443を許可しています。会社のポリシーでは、各リソースに対して最小権限が要求されます。この要件を満たすために、どの追加設定を適用すべきですか？

この設計では、ウェブサーバーはロードバランサーからのトラフィックのみを受け入れるべきです。したがって、ウェブサーバーのセキュリティグループは、ロードバランサーのセキュリティグループからのポート443を許可するように設定することで、最小権限の原則が適用されます。MySQLサーバーはウェブサーバーからのトラフィックのみを受け入れるべきなので、MySQLサーバーのセキュリティグループは、ウェブサーバーのセキュリティグループからのポート3306を許可するように設定します。 他の選択肢は不適切です。 0.0.0.0/0からのポート443を許可すると、ウェブサーバーがインターネットに直接公開され、最小権限の原則に反します。 ネットワークACLはステートレスであり、サブネットレベルで機能するため、セキュリティグループよりもきめ細かな制御には適していません。セキュリティグループはインスタンスレベルでステートフルなフィルタリングを提供し、このシナリオにより適しています。