Firma uruchomiła instancje aplikacji Linux na Amazon EC2 w prywatnej podsieci oraz hosta bastionu Linux na instancji EC2 w publicznej podsieci. Architekt rozwiązań musi umożliwić połączenia z sieci lokalnej (za pośrednictwem firmowego połączenia internetowego) do hosta bastionu, a następnie do serwerów aplikacji. Grupy bezpieczeństwa na wszystkich instancjach EC2 muszą zezwalać na ten dostęp. Jaką kombinację kroków powinien podjąć architekt rozwiązań? (Wybierz dwie.)

Aby umożliwić dostęp do hosta bastionu z sieci lokalnej firmy, grupa bezpieczeństwa hosta bastionu musi zezwalać na ruch przychodzący z zewnętrznego zakresu adresów IP firmy (publicznego IP, z którego firma łączy się z internetem). Następnie, aby host bastion mógł łączyć się z serwerami aplikacji, grupa bezpieczeństwa instancji aplikacji musi zezwalać na ruch SSH przychodzący z prywatnego adresu IP hosta bastionu. Opcja "Zastąp bieżącą grupę bezpieczeństwa hosta bastionu taką, która zezwala na ruch przychodzący tylko z instancji aplikacji" jest nieprawidłowa, ponieważ uniemożliwiłoby to początkowe połączenie z hostem bastionu z sieci firmowej. Opcja "Zastąp bieżącą grupę bezpieczeństwa hosta bastionu taką, która zezwala na ruch przychodzący tylko z wewnętrznego zakresu adresów IP firmy" jest nieprawidłowa, ponieważ dostęp z sieci lokalnej firmy do AWS odbywa się przez publiczny internet, a nie wewnętrzny zakres IP. Opcja "Zastąp bieżącą grupę bezpieczeństwa instancji aplikacji taką, która zezwala na przychodzący dostęp SSH tylko z publicznego adresu IP hosta bastionu" jest nieprawidłowa, ponieważ instancje w prywatnej podsieci komunikują się z innymi instancjami w VPC za pomocą prywatnych adresów IP.