Firma wdraża aplikacje w wielu VPC dołączonych do Transit Gateway. Każdy VPC, który wysyła ruch do Internetu, musi kierować ruch przez VPC usług współdzielonych. Każda podsieć VPC używa domyślnej tabeli routingu VPC wskazującej na Transit Gateway; Transit Gateway używa swojej domyślnej tabeli routingu dla załączników VPC. Audyt bezpieczeństwa pokazuje, że instancja EC2 w jednym VPC może komunikować się z instancjami EC2 w dowolnym innym VPC firmy. Każdy VPC powinien mieć możliwość komunikowania się tylko z określonym, ograniczonym zestawem autoryzowanych VPC. Co powinien zrobić architekt rozwiązań, aby to wymusić?

Prawidłowa odpowiedź to utworzenie dedykowanej tabeli routingu Transit Gateway dla każdego załącznika VPC i skonfigurowanie tras tak, aby każdy załącznik docierał tylko do swoich autoryzowanych VPC. Pozwala to na precyzyjną kontrolę nad tym, które VPC mogą się ze sobą komunikować, zgodnie z zasadą najmniejszych uprawnień. Domyślna tabela routingu Transit Gateway propaguje trasy do wszystkich załączników, co umożliwia komunikację między wszystkimi VPC. Zmiana list ACL sieciowych nie jest skalowalna i jest trudna w zarządzaniu w środowisku z wieloma VPC, a także nie rozwiązuje problemu routingu na poziomie Transit Gateway. Aktualizacja grup bezpieczeństwa nie jest efektywnym rozwiązaniem, ponieważ grupy bezpieczeństwa kontrolują ruch na poziomie instancji, a nie na poziomie routingu między VPC. Modyfikacja głównej tabeli routingu w każdym VPC nie jest wystarczająca, ponieważ ruch nadal będzie kierowany do Transit Gateway, który następnie rozgłosi go do wszystkich podłączonych VPC, chyba że routing Transit Gateway zostanie odpowiednio skonfigurowany.