Aplikacja działa na trzech instancjach EC2 w trzech Strefach Dostępności za Network Load Balancerem (NLB). Administrator musi ograniczyć ruch instancji tak, aby dozwolone były tylko żądania pochodzące z NLB. Które podejście spełnia ten wymóg przy najmniejszym nakładzie pracy operacyjnej?

Poprawna odpowiedź to ustawienie reguł ruchu przychodzącego grupy bezpieczeństwa instancji EC2 tak, aby akceptowały ruch tylko z grupy bezpieczeństwa powiązanej z NLB. Jest to najprostsze i najbardziej efektywne operacyjnie rozwiązanie. Grupy bezpieczeństwa są stanowe, co oznacza, że ruch wychodzący jest automatycznie dozwolony, a ruch powrotny jest automatycznie dozwolony. Odwołanie się do grupy bezpieczeństwa NLB w regułach grupy bezpieczeństwa instancji EC2 automatycznie zezwala na ruch z NLB, bez konieczności ręcznego zarządzania adresami IP. Opcja z elastycznymi interfejsami sieciowymi NLB jest niepraktyczna, ponieważ adresy IP interfejsów NLB mogą się zmieniać. Opcja z listą kontroli dostępu do sieci (ACL) jest mniej elastyczna niż grupy bezpieczeństwa, ponieważ ACL są bezstanowe i wymagają zarządzania zarówno ruchem przychodzącym, jak i wychodzącym, a także adresami IP NLB. Wdrożenie zapory sieciowej innej firmy to znacznie większy nakład pracy operacyjnej i dodatkowe koszty.