Firma używa AWS Network Firewall do ochrony ruchu wychodzącego dla wielu VPC w jednym koncie. Instancje EC2 hostują aplikacje i są tagowane nazwą aplikacji; instancje działają w grupach Auto Scaling. Grupa reguł stanowych Network Firewall musi być aktualizowana w miarę skalowania instancji w górę i w dół. Które podejście wymaga najmniejszego wysiłku wdrożeniowego i administracyjnego?

Prawidłowa odpowiedź to utworzenie grupy zasobów dla każdej nazwy aplikacji i odwołanie się do ARN grupy zasobów w grupie reguł stanowych. AWS Network Firewall obsługuje odwoływanie się do grup zasobów w regułach stanowych, co pozwala na dynamiczne uwzględnianie instancji EC2 na podstawie ich tagów. Kiedy instancje Auto Scaling skalują się w górę lub w dół, grupa zasobów automatycznie odzwierciedla te zmiany, a reguły Network Firewall są aktualizowane bez ręcznej interwencji, minimalizując wysiłek administracyjny. Pozostałe opcje są mniej efektywne: Listy kontroli dostępu do sieci (Network ACL) są bezstanowe i działają na poziomie podsieci, nie na poziomie instancji z tagami, co czyni je nieodpowiednimi do tego scenariusza. Listy prefiksów wymagają ręcznego zarządzania adresami IP lub skryptów do ich aktualizacji, co zwiększa wysiłek administracyjny. Funkcja Lambda, która odpytuje tagi i aktualizuje reguły, wymagałaby dodatkowego kodu, zarządzania uprawnieniami i monitorowania, co jest bardziej złożone niż natywne wykorzystanie grup zasobów.