Firma utworzyła VPC dla nowej aplikacji na nowym koncie AWS. VPC jest połączone w peeringu z istniejącym VPC na innym koncie w tym samym regionie w celu uzyskania dostępu do bazy danych. Instancje Amazon EC2 będą często tworzone i usuwane w VPC aplikacji, ale tylko niektóre z nich muszą łączyć się z bazami danych w połączonym w peeringu VPC przez port TCP 1521. Inżynier bezpieczeństwa musi zapewnić, że tylko wymagane instancje mogą uzyskać dostęp do baz danych. Co powinien zrobić inżynier?

Poprawna odpowiedź zapewnia, że tylko konkretne instancje EC2 w VPC aplikacji mogą łączyć się z bazami danych. Użycie identyfikatora grupy bezpieczeństwa VPC aplikacji jako źródła w regule grupy bezpieczeństwa VPC bazy danych jest kluczowe. Pozwala to na dostęp tylko instancjom, które są członkami tej konkretnej grupy bezpieczeństwa, a nie wszystkim instancjom w całym CIDR VPC aplikacji. Grupy bezpieczeństwa są stanowe, więc nie ma potrzeby definiowania reguł wychodzących w grupie bezpieczeństwa aplikacji. Pozostałe opcje są nieprawidłowe, ponieważ: Opcja 1 i 4 używają zakresu CIDR VPC aplikacji, co zezwoliłoby wszystkim instancjom w VPC aplikacji na dostęp do bazy danych, a nie tylko wybranym. Network ACLs są bezstanowe i działają na poziomie podsieci, nie zapewniając precyzyjnej kontroli na poziomie instancji, jak grupy bezpieczeństwa. Opcja 2 definiuje reguły przychodzące w obu grupach bezpieczeństwa, co jest zbędne, ponieważ grupy bezpieczeństwa są stanowe. Ponadto, użycie CIDR VPC zamiast identyfikatora grupy bezpieczeństwa jest mniej precyzyjne.