Een bedrijf bouwt een multi-tier webapplicatie met: web- en applicatieservers op Amazon EC2 Auto Scaling-groepen, en een Amazon RDS DB-instantie. De solutions architect moet de toegang tot de applicatieservers beperken, zodat alleen de webservers deze kunnen bereiken. Welke oplossing voldoet aan deze vereiste?

De correcte oplossing is het implementeren van een Application Load Balancer (ALB) met een target group die de Auto Scaling-groep van de applicatieservers bevat, en vervolgens de security group van de applicatieservers te configureren om alleen verkeer van de security group van de webservers toe te staan. Een ALB is ideaal voor HTTP/HTTPS-verkeer en kan de webservers als bron identificeren. Security groups werken op instanceniveau en zijn stateful, wat betekent dat ze zowel inkomend als uitgaand verkeer controleren en een flexibele manier bieden om toegang tussen verschillende lagen te beheren. AWS PrivateLink en VPC endpoints zijn bedoeld voor privéconnectiviteit met AWS-services of services van derden, niet voor het beperken van verkeer tussen applicatielagen binnen dezelfde VPC. Een Network Load Balancer (NLB) werkt op laag 4 (TCP/UDP) en is minder geschikt voor het routeren van HTTP/HTTPS-verkeer op basis van applicatiecontext; bovendien zijn netwerk-ACL's stateless en werken ze op subnetniveau, wat minder granulair is dan security groups voor dit specifieke doel.