Firma planuje wdrożyć nową publiczną aplikację internetową na AWS. Aplikacja posiada warstwę serwerów WWW, która działa na instancjach Amazon EC2, oraz warstwę bazy danych, która korzysta z instancji Amazon RDS for MySQL DB. Aplikacja musi być bezpieczna i dostępna dla globalnych klientów, którzy mają dynamiczne adresy IP. Jak architekt rozwiązań powinien skonfigurować grupy bezpieczeństwa, aby spełnić te wymagania?

Poprawna odpowiedź zapewnia bezpieczną i dostępną konfigurację. Serwery WWW muszą być dostępne dla globalnych klientów z dynamicznymi adresami IP, dlatego zezwolenie na ruch przychodzący na porcie 443 (HTTPS) z 0.0.0.0/0 jest konieczne. Baza danych powinna być dostępna tylko dla serwerów WWW, dlatego ograniczenie ruchu przychodzącego na porcie 3306 (MySQL) do grupy bezpieczeństwa serwerów WWW jest najlepszą praktyką bezpieczeństwa. Pozostałe opcje są nieodpowiednie: Ograniczenie ruchu do serwerów WWW tylko do adresów IP klientów jest niemożliwe ze względu na dynamiczne adresy IP i globalny zasięg. Zezwolenie na ruch do bazy danych z adresów IP klientów lub 0.0.0.0/0 naruszyłoby bezpieczeństwo, wystawiając bazę danych na bezpośrednie zagrożenia z internetu.