Een bedrijf implementeert applicaties in meerdere VPC's die zijn gekoppeld aan een Transit Gateway. Elke VPC die internetverkeer verzendt, moet routeren via een gedeelde services VPC. Elk VPC-subnet gebruikt de standaard VPC-routetabel die naar de Transit Gateway wijst; de Transit Gateway gebruikt zijn standaard routetabel voor VPC-attachments. Een beveiligingsaudit toont aan dat een EC2-instance in de ene VPC kan communiceren met EC2-instances in elke andere VPC van het bedrijf. Elke VPC zou alleen moeten kunnen communiceren met een specifieke, beperkte set geautoriseerde VPC's. Wat moet de solutions architect doen om dit af te dwingen?

De correcte optie is het maken van een dedicated Transit Gateway-routetabel voor elke VPC-attachment en het configureren van routes zodat elke attachment alleen zijn geautoriseerde VPC's bereikt. Dit is de meest schaalbare en efficiënte methode om gedetailleerde netwerksegmentatie af te dwingen op Transit Gateway-niveau. Door afzonderlijke routetabellen te gebruiken, kan elke VPC-attachment alleen de routes zien en gebruiken die expliciet zijn toegestaan, waardoor communicatie met ongeautoriseerde VPC's wordt voorkomen. Het wijzigen van netwerk-ACL's op elk subnet is niet schaalbaar en complex te beheren over meerdere VPC's. Het bijwerken van alle security groups om uitgaand verkeer expliciet te weigeren naar ongeautoriseerde VPC's is ook niet schaalbaar en foutgevoelig, aangezien security groups voornamelijk inkomend verkeer controleren en het beheer van uitgaande regels voor elke mogelijke ongeautoriseerde bestemming onpraktisch is. Het wijzigen van de hoofdroutetabel in elke VPC om verkeer alleen naar geautoriseerde VPC's via de Transit Gateway te routeren, is minder flexibel dan het beheren van de routes op Transit Gateway-niveau, omdat het nog steeds een uniforme routing binnen de VPC impliceert en niet de granulaire controle biedt die Transit Gateway-routetabellen wel bieden.