Firma uruchamia aplikację internetową na instancjach Amazon EC2 w prywatnej podsieci VPC. Application Load Balancer (ALB) w publicznych podsieciach kieruje ruch do tych instancji EC2. Firma chce ograniczyć ruch przychodzący do instancji EC2 tak, aby tylko ALB mógł do nich uzyskiwać dostęp, uniemożliwiając dostęp z jakiegokolwiek innego źródła. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to skonfigurowanie grupy zabezpieczeń dla instancji EC2, aby zezwalała tylko na ruch pochodzący z grupy zabezpieczeń dla ALB. To rozwiązanie jest najlepsze, ponieważ grupy zabezpieczeń działają jako wirtualne firewalle, kontrolując ruch przychodzący i wychodzący. Określając grupę zabezpieczeń ALB jako źródło ruchu dla grupy zabezpieczeń instancji EC2, zapewniasz, że tylko ruch przekierowany przez ALB może dotrzeć do instancji, skutecznie izolując je od innych źródeł. Pozostałe opcje są nieprawidłowe: Konfiguracja trasy w tabeli routingu nie kontroluje dostępu na poziomie instancji, a jedynie kieruje ruch. Przeniesienie instancji EC2 do podsieci publicznej i przypisanie adresów Elastic IP naraziłoby je bezpośrednio na dostęp z Internetu, co jest sprzeczne z wymaganiem izolacji. Konfiguracja grupy zabezpieczeń dla ALB, aby zezwalała na dowolny ruch TCP na dowolnym porcie, dotyczy ruchu do ALB, a nie do instancji EC2, i nie zapewnia wymaganej kontroli dostępu do instancji.