Een gecentraliseerde loggingservice die op EC2 draait, ontvangt logs van honderden AWS-accounts met behulp van AWS PrivateLink. Elk clientaccount heeft een interface VPC-endpoint voor de loggingservice. De loggingservice draait op EC2-instances achter een Network Load Balancer (NLB), verspreid over subnetten. Clients kunnen geen logs verzenden via het VPC-endpoint. Welke combinatie van stappen moet een solutions architect nemen om dit te verhelpen? (Kies twee.)

De correcte antwoorden pakken veelvoorkomende netwerkconfiguratiefouten aan in een AWS PrivateLink-opstelling met een Network Load Balancer (NLB). Ten eerste moeten Network Access Control Lists (NACL's) bidirectioneel verkeer tussen de subnetten van de loggingservice en de NLB-subnetten toestaan. NACL's zijn stateless en moeten zowel inkomend als uitgaand verkeer expliciet toestaan. Ten tweede moet de security group van de EC2-instances van de loggingservice inkomend verkeer van de NLB toestaan. De NLB stuurt verkeer door naar de EC2-instances, dus de security group moet dit verkeer accepteren. De optie die NACL's tussen de loggingservice en interface-endpointsubnetten noemt, is minder direct, omdat de NLB de directe verbinding met de EC2-instances afhandelt. De optie die de security group van de EC2-instances inkomend verkeer van clients laat toestaan, is onjuist omdat de NLB het verkeer van de clients ontvangt en doorstuurt. De optie die de security group van de NLB inkomend verkeer van de interface-endpointsubnetten laat toestaan, is onjuist omdat NLB's geen security groups hebben; ze opereren op laag 4 en gebruiken NACL's voor netwerktoegangscontrole.