Een multi-tier e-commerce applicatie gebruikt een Application Load Balancer in publieke subnets, een webtier in publieke subnets en een MySQL-cluster op Amazon EC2-instances in private subnets. De MySQL-database moet productcatalogus- en prijsgegevens ophalen die door een externe provider op het internet worden gehost. Ontwerp een strategie die de beveiliging maximaliseert zonder de operationele overhead te verhogen. Wat moet de solutions architect doen?

De correcte optie is het implementeren van een NAT gateway in de publieke subnets en het aanpassen van de routetabel van het private subnet. Een NAT gateway is een beheerde service die private instances in staat stelt om uitgaande verbindingen met het internet te initiëren, terwijl inkomende, ongevraagde verbindingen worden geblokkeerd. Dit maximaliseert de beveiliging door de database-instances in private subnets te houden en vermindert de operationele overhead omdat het een volledig beheerde service is. Het implementeren van een NAT instance verhoogt de operationele overhead, aangezien deze handmatig moet worden beheerd en geschaald. Een internet gateway direct koppelen aan het private subnet zou de database-instances direct blootstellen aan het internet, wat een beveiligingsrisico vormt. Een virtual private gateway wordt gebruikt voor VPN-verbindingen met on-premises netwerken, niet voor uitgaande internettoegang vanuit private subnets.