Компании требуется HTTPS для доступа к своим веб-приложениям. Приложения работают на инстансах Amazon EC2 за Application Load Balancer (ALB) в VPC. Инженер по безопасности должен убедиться, что балансировщик нагрузки принимает соединения только по порту 443, даже если случайно настроен HTTP-слушатель. Какая конфигурация это обеспечит?

Правильный ответ — создание группы безопасности с единственным правилом, разрешающим входящие соединения с 0.0.0.0/0 по порту 443, и привязка ее к ALB. Группы безопасности работают по принципу "разрешить все, что не запрещено явно", поэтому единственное правило на порт 443 гарантирует, что только HTTPS-трафик будет разрешен. Любые другие порты, включая порт 80 для HTTP, будут неявно запрещены. Неправильные варианты: Запрет порта 80 в группе безопасности не гарантирует, что другие порты не будут открыты, если есть более разрешительные правила. Сетевые ACL, связанные с интернет-шлюзом, не контролируют трафик на уровне ALB. Они работают на уровне подсети и не могут быть привязаны к ALB напрямую для управления его входящими соединениями. Разрешение исходящих соединений по порту 443 не влияет на входящие соединения на ALB.