Een bedrijf gaat een interne webapplicatie implementeren op AWS die alleen toegankelijk mag zijn vanuit het kantoor van het bedrijf. De applicatie moet beveiligingspatches van het internet downloaden. Het bedrijf heeft een VPC en een AWS Site-to-Site VPN naar kantoor. Welk ontwerp voldoet veilig aan deze vereisten?

De correcte optie voldoet aan alle vereisten. De webapplicatie in private subnets achter een interne ALB zorgt ervoor dat deze alleen toegankelijk is binnen de VPC of via de VPN-verbinding. De security group van de ALB beperkt de toegang tot het kantoornetwerk. NAT gateways in publieke subnets, in combinatie met een internet gateway, stellen de EC2-instances in staat om beveiligingspatches van internet te downloaden zonder direct toegankelijk te zijn vanaf internet. De eerste optie is onjuist omdat de webapplicatie in publieke subnets met een publieke ALB en een security group van 0.0.0.0/0 de applicatie openbaar toegankelijk maakt, wat in strijd is met de eis dat deze alleen vanuit kantoor toegankelijk mag zijn. De derde optie is onjuist omdat een interne ALB in publieke subnets geen zin heeft en de outbound destination van de security group de inkomende toegang niet regelt. De vierde optie is onjuist omdat een publieke ALB de applicatie openbaar toegankelijk maakt, wat niet gewenst is.