Инженер по безопасности крупного предприятия управляет приложением для обработки данных, используемым 1500 дочерними компаниями. Материнская компания и все дочерние компании используют AWS. Приложение прослушивает TCP-порт 443 и работает на Amazon EC2 за Network Load Balancer (NLB). В соответствии с требованиями соответствия, приложение должно быть доступно только дочерним компаниям и не должно быть открыто для публичного интернета. Инженер получил публичные и частные диапазоны CIDR для каждой дочерней компании. Какое решение должен реализовать инженер для обеспечения этих ограничений доступа?

Правильный ответ — создание сервиса конечных точек AWS PrivateLink. PrivateLink позволяет дочерним компаниям безопасно и приватно подключаться к приложению через сеть AWS, не выходя в публичный интернет. Это соответствует требованиям безопасности и масштабируется для 1500 дочерних компаний. Группа безопасности на экземплярах EC2 должна разрешать трафик только от PrivateLink, обеспечивая изоляцию. Неправильные варианты: Использование сетевых ACL для 1500 диапазонов CIDR не масштабируется и сложно в управлении. Сетевые ACL применяются на уровне подсети и не позволяют использовать ссылки на группы безопасности. Группы безопасности, прикрепленные к NLB, не могут напрямую ссылаться на группы безопасности экземпляров EC2, находящихся за NLB. Кроме того, управление 1500 диапазонами CIDR в одной группе безопасности сложно. Прикрепление группы безопасности с 1500 CIDR непосредственно к экземплярам EC2 не обеспечивает безопасность на уровне NLB и не масштабируется.