Een bedrijf migreert een applicatie naar een nieuw AWS-account in één enkele Regio. De app draait op EC2 instances in private subnets verspreid over meerdere Availability Zones. Gebruikers maken via HTTPS verbinding vanuit browsers. Inkomend verkeer moet worden verdeeld over AZ's en instances, en alle verbindingen van dezelfde clientsessie moeten naar dezelfde EC2 instance gaan. Het bedrijf vereist ook end-to-end encryptie met behulp van het SSL-certificaat van de applicatie. Welk ontwerp voldoet aan deze vereisten?

De Network Load Balancer (NLB) met TCP-listeners en TCP-doelgroepen op poort 443 is de juiste keuze. Dit voldoet aan de vereiste voor end-to-end encryptie, omdat de SSL-certificaten op de EC2-instances worden geïmplementeerd, waardoor de NLB de versleutelde verbinding doorstuurt zonder deze te beëindigen. Sessie-affiniteit is beschikbaar op NLB's en zorgt ervoor dat verbindingen van dezelfde client naar dezelfde instance gaan. De NLB is ook geoptimaliseerd voor hoge prestaties en lage latentie, wat geschikt is voor de applicatie. De andere opties zijn onjuist: Een Application Load Balancer (ALB) beëindigt standaard de SSL-verbinding, wat niet voldoet aan de end-to-end encryptie-eis met het applicatiecertificaat op de EC2-instances. Een NLB met TLS-protocol op de doelgroep en listener zou de SSL-verbinding beëindigen op de NLB, wat ook niet voldoet aan de end-to-end encryptie-eis met het applicatiecertificaat op de EC2-instances. Een ALB met een HTTP-listener op poort 443 is onjuist, omdat een HTTPS-verbinding een HTTPS-listener vereist.