Wielowarstwowa aplikacja e-commerce wykorzystuje Application Load Balancer w podsieciach publicznych, warstwę webową w podsieciach publicznych oraz klaster MySQL na instancjach Amazon EC2 w podsieciach prywatnych. Baza danych MySQL musi pobierać dane katalogu produktów i cennika hostowane w Internecie przez dostawcę zewnętrznego. Zaprojektuj strategię, która maksymalizuje bezpieczeństwo bez zwiększania narzutu operacyjnego. Co powinien zrobić architekt rozwiązań?

Prawidłowa odpowiedź to wdrożenie bramy NAT (NAT gateway) w podsieciach publicznych i modyfikacja tabeli routingu podsieci prywatnej. NAT gateway to w pełni zarządzana usługa AWS, która umożliwia instancjom w podsieciach prywatnych inicjowanie połączeń wychodzących do Internetu, jednocześnie uniemożliwiając połączenia przychodzące z Internetu. Zapewnia to wysokie bezpieczeństwo i minimalizuje narzut operacyjny, ponieważ AWS zarządza skalowaniem i dostępnością. Wdrożenie instancji NAT (NAT instance) zwiększa narzut operacyjny, ponieważ wymaga ręcznego zarządzania i skalowania. Dołączenie internet gateway bezpośrednio do podsieci prywatnej naraziłoby instancje bazy danych na bezpośredni dostęp z Internetu, co jest poważnym zagrożeniem bezpieczeństwa. Virtual private gateway służy do łączenia VPC z siecią lokalną (on-premises) i nie jest przeznaczone do routingu ruchu wychodzącego do Internetu z podsieci prywatnych.