Een bedrijf draait een webapplicatie op Amazon EC2-instances in een private subnet van een VPC. Een Application Load Balancer (ALB) in de publieke subnets stuurt verkeer naar die EC2-instances. Het bedrijf wil inkomend verkeer naar de EC2-instances beperken, zodat alleen de ALB er toegang toe heeft en toegang vanuit andere bronnen wordt voorkomen. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is om de security group van de EC2-instances te configureren om alleen inkomend verkeer toe te staan dat afkomstig is van de security group van de ALB. Dit is een best practice voor beveiliging, omdat het de EC2-instances isoleert en ervoor zorgt dat alleen de ALB het verkeer kan doorsturen. De andere opties zijn onjuist: Het configureren van een route in een routetabel om verkeer van het internet naar de private IP-adressen van de EC2-instances te leiden, zou de instances direct blootstellen aan het internet, wat een beveiligingsrisico vormt. Het verplaatsen van de EC2-instances naar het publieke subnet en ze Elastic IP-adressen geven, zou ook de instances direct blootstellen aan het internet. Het configureren van de security group voor de ALB om elk TCP-verkeer op elke poort toe te staan, is te permissief en verhoogt het aanvalsoppervlak van de ALB, maar lost het probleem van het beperken van verkeer naar de EC2-instances niet op.