Databaseservers draaien in subnet-a; applicatie- en webservers draaien in subnet-b van de standaard VPC. Sta databasetraffic alleen toe van applicatieservers naar databaseservers. Wat moet u doen?

De correcte aanpak is om serviceaccounts te gebruiken voor bron- en doelidentificatie in de firewallregel. Door sa-app toe te wijzen aan applicatieservers en sa-db aan databaseservers, kunt u een ingress firewallregel maken op de databaseservers (sa-db) die alleen verkeer toestaat dat afkomstig is van de applicatieservers (sa-app). Dit is een veilige en schaalbare methode voor het beheren van toegang. Incorrecte opties: Het gebruik van netwerktags voor egress-regels is minder nauwkeurig voor het specificeren van de bron van verkeer dat een specifieke set doelen mag bereiken. Egress-regels controleren uitgaand verkeer van de bron, niet inkomend verkeer naar het doel. Het combineren van serviceaccounts en netwerktags, en het gebruik van VPC IP-bereiken, is minder flexibel en minder veilig dan het consistent gebruik van serviceaccounts voor beide zijden van de communicatie, vooral in dynamische omgevingen. Een egress-regel van app-server naar sa-db zou betekenen dat de applicatieservers uitgaand verkeer mogen sturen naar de databaseservers. Hoewel dit deels het doel bereikt, is een ingress-regel op de databaseservers die specifiek verkeer van de applicatieservers toestaat, de meest directe en robuuste manier om de toegang tot de databaseservers te controleren.