Firma wdroży wewnętrzną aplikację internetową na AWS, która musi być dostępna tylko z biura firmy. Aplikacja musi pobierać poprawki bezpieczeństwa z internetu. Firma posiada VPC i AWS Site-to-Site VPN do biura. Który projekt bezpiecznie spełnia te wymagania?

Poprawna odpowiedź zapewnia, że aplikacja jest dostępna tylko z biura firmy i może pobierać poprawki bezpieczeństwa. Umieszczenie aplikacji w prywatnych podsieciach za wewnętrznym ALB, którego grupa bezpieczeństwa zezwala na ruch tylko z bloku CIDR sieci biurowej, ogranicza dostęp. NAT Gateway w publicznych podsieciach z Internet Gateway umożliwia instancjom EC2 w podsieciach prywatnych inicjowanie połączeń wychodzących do Internetu w celu pobierania poprawek, bez narażania ich na bezpośredni ruch przychodzący z Internetu. Pozostałe opcje są nieprawidłowe, ponieważ: Opcja 1: Ustawienie źródła ruchu przychodzącego grupy bezpieczeństwa ALB na 0.0.0.0/0 sprawia, że aplikacja jest publicznie dostępna, co narusza wymaganie bezpieczeństwa. Opcja 3: Umieszczenie NAT Gateway w podsieciach prywatnych jest nieprawidłowe; NAT Gateway muszą znajdować się w publicznych podsieciach, aby umożliwić ruch wychodzący z prywatnych podsieci do Internetu. Ustawienie docelowego ruchu wychodzącego grupy bezpieczeństwa ALB na blok CIDR sieci biurowej firmy jest niepoprawne, ponieważ grupa bezpieczeństwa kontroluje ruch przychodzący, a nie wychodzący w ten sposób. Opcja 4: Użycie publicznego ALB sprawia, że aplikacja jest dostępna z Internetu, co narusza wymaganie bezpieczeństwa.