Een transit gateway stuurt flow logs naar een CloudWatch Logs-groep. Een Lambda analyseert de logs en publiceert SNS-meldingen wanneer een VPC verkeer genereert dat de transit gateway dropt. Elke melding bevat de account ID, VPC ID en het totaal aantal gedropte pakketten. Een nieuwe Lambda die geabonneerd is op het SNS-onderwerp moet automatisch voorkomen dat het geïdentificeerde verkeer de oorspronkelijke VPC verlaat door een netwerk-ACL toe te passen op de transit gateway attachment subnets in die VPC. Welke aanpak voldoet aan deze vereiste?

De Transit Gateway flow logs bevatten informatie over gedropte pakketten. Om te voorkomen dat het verkeer de VPC verlaat, moet een uitgaande netwerk-ACL-regel worden toegepast op de subnetten waar de Transit Gateway attachment zich bevindt. Deze regel moet de bestemming van het gedropte verkeer blokkeren. Daarom moet de bestaande Lambda de doel-IP-adressen van het gedropte verkeer in de SNS-melding opnemen, zodat de nieuwe Lambda een uitgaande netwerk-ACL-regel kan maken die deze specifieke doel-IP-adressen blokkeert. De andere opties zijn incorrect omdat ze inkomende regels voorstellen, of bron-IP-adressen gebruiken in plaats van doel-IP-adressen voor uitgaand verkeer, wat niet effectief zou zijn om te voorkomen dat het verkeer de VPC verlaat.