Een solutions architect ontwerpt een VPC met meerdere subnets om EC2-instances en Amazon RDS DB-instances te hosten. De VPC heeft zes subnets verdeeld over twee Availability Zones: in elke AZ is er een publiek subnet, een privé subnet en een subnet speciaal voor databases. Alleen EC2-instances in de privé subnets mogen toegang hebben tot de RDS-databases. Welke oplossing dwingt deze vereiste af?

De juiste oplossing is het maken van een security group die inkomend verkeer toestaat van de security group die is toegewezen aan instances in de privé subnets en deze te koppelen aan de DB-instances. Security groups fungeren als virtuele firewalls op instanceniveau en controleren zowel inkomend als uitgaand verkeer. Door een regel te configureren die alleen verkeer toestaat van de security group van de privé subnets, wordt afgedwongen dat alleen EC2-instances in die privé subnets toegang hebben tot de RDS-databases. De andere opties zijn incorrect: Een routetabel sluit geen toegang uit op basis van security groups; het beheert netwerkverkeer tussen subnets en internetgateways. Een security group die inkomend verkeer weigert van publieke subnets is niet voldoende, omdat dit niet expliciet toegang van privé subnets toestaat. Peeringverbindingen zijn bedoeld voor het verbinden van VPC's en zijn niet relevant voor het beheren van toegang tussen subnets binnen dezelfde VPC.