Een bedrijf gebruikt AWS Network Firewall om uitgaand verkeer voor veel VPC's in één account te beschermen. EC2-instanties hosten applicaties en zijn getagd met hun applicatienaam; instanties draaien in Auto Scaling-groepen. Een Network Firewall stateful rule group moet actueel blijven naarmate instanties op- en afschalen. Welke aanpak vereist de minste implementatie- en administratieve inspanning?

De correcte optie is het maken van een resource group voor elke applicatienaam en het verwijzen naar de ARN van de resource group in de stateful rule group. Dit is de meest efficiënte benadering omdat AWS Network Firewall stateful rule groups direct kunnen verwijzen naar resource groups. Wanneer instanties in Auto Scaling-groepen op- of afschalen, worden ze automatisch toegevoegd aan of verwijderd uit de overeenkomstige resource group op basis van hun tags. De Network Firewall rule group hoeft dan niet handmatig te worden bijgewerkt, wat de administratieve inspanning minimaliseert. De andere opties zijn minder optimaal: Netwerk-ACL's zijn stateless en werken op subnetniveau, niet op instantieniveau, en kunnen niet direct worden gebruikt in Network Firewall stateful rules. Prefix lists vereisen handmatig beheer van IP-adressen en zouden niet automatisch bijwerken bij schaalveranderingen. Een Lambda-functie om IP-adressen op te vragen en de rule group bij te werken, zou aanzienlijke ontwikkelings- en onderhoudsinspanningen vereisen en is complexer dan de ingebouwde integratie met resource groups.