Een beveiligingsengineer bij een grote onderneming beheert een gegevensverwerkingstoepassing die wordt gebruikt door 1.500 dochterondernemingen. Het moederbedrijf en alle dochterondernemingen gebruiken AWS. De toepassing luistert op TCP-poort 443 en draait op Amazon EC2 achter een Network Load Balancer (NLB). Voor compliance moet de toepassing alleen toegankelijk zijn voor dochterondernemingen en mag deze niet worden blootgesteld aan het openbare internet. De engineer heeft de openbare en privé CIDR-bereiken voor elke dochteronderneming ontvangen. Welke oplossing moet de engineer implementeren om deze toegangsbeperkingen af te dwingen?

AWS PrivateLink is de meest geschikte oplossing voor dit scenario. Het maakt veilige, privéconnectiviteit tussen VPC's mogelijk zonder verkeer over het openbare internet te sturen, wat voldoet aan de compliance-eis. De endpoint service in het moederbedrijf, gekoppeld aan de NLB, stelt dochterondernemingen in staat om via interface VPC endpoints privé verbinding te maken. Dit schaalt efficiënt naar 1.500 dochterondernemingen. Optie 1 (netwerk-ACL's) is onpraktisch en moeilijk te beheren voor 1.500 CIDR-bereiken en biedt geen end-to-end privéconnectiviteit. Optie 2 (security groups op NLB en EC2) zou de NLB nog steeds blootstellen aan het openbare internet, wat in strijd is met de compliance-eis. Optie 4 (security group alleen op EC2) zou de NLB onbeschermd laten en de EC2-instances mogelijk blootstellen aan het openbare internet als de NLB dat ook is.