Projektujesz VPC z dwoma publicznymi podsieciami dla load balancera, dwoma prywatnymi podsieciami dla serwerów WWW i dwoma prywatnymi podsieciami dla MySQL. Serwery WWW obsługują tylko HTTPS. Grupa bezpieczeństwa dla load balancera już zezwala na port 443 z 0.0.0.0/0. Polityka firmy wymaga zasady najmniejszych uprawnień (least privilege) dla każdego zasobu. Jaką dodatkową konfigurację należy zastosować, aby spełnić ten wymóg?

Poprawna odpowiedź stosuje zasadę najmniejszych uprawnień. Grupa bezpieczeństwa dla serwerów WWW powinna zezwalać na ruch tylko z load balancera (źródło: grupa bezpieczeństwa load balancera), a nie z całego internetu (0.0.0.0/0), co jest zbyt szerokie. Grupa bezpieczeństwa dla serwerów MySQL powinna zezwalać na połączenia tylko z serwerów WWW (źródło: grupa bezpieczeństwa serwerów WWW), ponieważ tylko one potrzebują dostępu do bazy danych. Użycie grup bezpieczeństwa jest odpowiednie dla kontroli ruchu na poziomie instancji. Listy kontroli dostępu do sieci (Network ACLs) działają na poziomie podsieci i są bezstanowe, co czyni je mniej elastycznymi i trudniejszymi w zarządzaniu dla tego konkretnego scenariusza.