한 회사에서 프라이빗 서브넷의 Amazon EC2에 Linux 애플리케이션 인스턴스를 시작하고 퍼블릭 서브넷의 EC2 인스턴스에 Linux 배스천 호스트를 시작했습니다. 솔루션스 아키텍트는 온프레미스 네트워크(회사 인터넷 연결을 통해)에서 배스천 호스트로, 그리고 애플리케이션 서버로의 연결을 활성화해야 합니다. 모든 EC2 인스턴스의 보안 그룹은 이 액세스를 허용해야 합니다. 솔루션스 아키텍트는 어떤 단계 조합을 수행해야 할까요? (두 가지 선택)

배스천 호스트는 온프레미스 네트워크에서 인터넷을 통해 접근해야 하므로, 배스천 호스트의 보안 그룹은 회사 외부 IP 범위(온프레미스 네트워크의 공인 IP)에서 인바운드 액세스를 허용해야 합니다. 이것은 외부에서 배스천 호스트로의 안전한 진입점을 제공합니다. 애플리케이션 인스턴스는 프라이빗 서브넷에 있으며 배스천 호스트를 통해서만 접근해야 합니다. 따라서 애플리케이션 인스턴스의 보안 그룹은 배스천 호스트의 프라이빗 IP 주소에서만 인바운드 SSH 액세스를 허용해야 합니다. 이렇게 하면 애플리케이션 인스턴스에 대한 직접적인 외부 접근을 차단하고 배스천 호스트를 통한 보안 터널링을 강제합니다. 오답 설명: 배스천 호스트의 보안 그룹을 애플리케이션 인스턴스에서만 인바운드 액세스를 허용하도록 설정하면 온프레미스에서 배스천 호스트로 접근할 수 없습니다. 배스천 호스트의 보안 그룹을 회사 내부 IP 범위에서만 허용하면 온프레미스 네트워크의 공인 IP를 통해 접근할 수 없습니다. 애플리케이션 인스턴스의 보안 그룹을 배스천 호스트의 퍼블릭 IP 주소에서 허용하는 것은 프라이빗 서브넷 내 통신에 적합하지 않으며, 보안 그룹은 동일 VPC 내 인스턴스 간 통신 시 프라이빗 IP를 참조합니다.