Je hebt een bovenliggende map met submappen voor afdelingen. Elke afdeling beheert zijn project en VPC en kan VPC firewallregels aanmaken. VPC's moeten geïsoleerd zijn, zodat er geen verkeer tussen stroomt, maar afdelingen moeten intra-VPC-regels kunnen beheren. Hoe dwing je een globale deny-from-any-other-VPC af, terwijl je intra-VPC-toestemmingen delegeert aan de afdelingsmappen?

De juiste oplossing maakt gebruik van hiërarchische firewallbeleidsregels om zowel isolatie als delegatie te bereiken. Door twee beleidsregels per afdelingsmap te maken, kan de organisatie de globale 'deny-from-any-other-VPC' afdwingen en tegelijkertijd afdelingen de mogelijkheid geven om hun eigen intra-VPC-regels te beheren. De regel met hoge prioriteit die overeenkomt met de privé-CIDR's van de VPC en de actie 'gotonext' instelt, zorgt ervoor dat intra-VPC-verkeer wordt geëvalueerd door de VPC-firewallregels die door de afdeling zijn gedefinieerd. De regel met lagere prioriteit die verkeer van elke andere bron blokkeert, dwingt de isolatie tussen VPC's af. De eerste twee opties zijn onjuist omdat het aanmaken van VPC-firewallregels in elke VPC niet de gewenste globale controle en delegatie biedt. VPC-firewallregels zijn projectspecifiek en bieden geen hiërarchische controle over meerdere projecten of mappen. De derde optie is onjuist omdat het instellen van de actie op 'allow' voor intra-VPC-verkeer in de hiërarchische firewallbeleidsregel de evaluatie door de gedetailleerde VPC-firewallregels van de afdeling zou omzeilen, wat de delegatie van intra-VPC-beheer onmogelijk maakt.