VPC内に3層のWeb→API→データベースアプリケーションがあり、各層は独立してスケールします。トラフィックはWeb→API→DBの順に流れる必要があり、Web層がDB層に直接到達してはなりません。どのようにネットワークを設定すべきですか？

このシナリオでは、Web層からAPI層へ、API層からデータベース層へのトラフィックフローを許可し、Web層からデータベース層への直接アクセスを禁止する必要があります。各層にタグを付け、そのタグに基づいてファイアウォールルールを作成することで、この要件を最も効果的に満たせます。 「各層を異なるサブネットワークに配置する」は、ネットワーク分離の基本的な方法ですが、サブネット間の特定のトラフィックフローを許可・拒否するには、追加のファイアウォールルールが必要です。これだけでは不十分です。 「各VMでホストベースのソフトウェアファイアウォールを使用する」は、VMごとに設定が必要で管理が複雑になり、一貫性の確保が困難です。 「各層にタグを付け、目的のフローを許可するルートを作成する」は、ルーティングはトラフィックの経路を決定しますが、アクセス制御にはファイアウォールルールが必要です。