Serwery baz danych działają w subnet-a; serwery aplikacji i serwery WWW działają w subnet-b domyślnego VPC. Zezwól na ruch bazodanowy tylko z serwerów aplikacji do serwerów baz danych. Co należy zrobić?

Poprawna odpowiedź to utworzenie kont usługowych i reguły zapory sieciowej typu ingress. Konta usługowe (service accounts) zapewniają bezpieczny i precyzyjny sposób identyfikacji instancji, umożliwiając kontrolę dostępu na poziomie tożsamości, co jest lepsze niż poleganie wyłącznie na adresach IP czy tagach sieciowych. Reguła ingress (ruch przychodzący) na serwerach baz danych, zezwalająca na ruch tylko z konta usługowego przypisanego do serwerów aplikacji, gwarantuje, że tylko autoryzowane aplikacje mogą łączyć się z bazą danych. Pozostałe opcje są mniej bezpieczne lub nieprawidłowe. Użycie tagów sieciowych jest mniej granularne niż konta usługowe. Reguła egress (ruch wychodzący) z serwerów aplikacji nie kontroluje, kto może się łączyć z serwerami baz danych, a jedynie, dokąd serwery aplikacji mogą wysyłać ruch. Mieszanie kont usługowych z tagami sieciowymi lub adresami IP VPC wprowadza niepotrzebną złożoność i potencjalne luki w bezpieczeństwie.