Компания использует AWS Network Firewall для защиты исходящего трафика для множества VPC в одном аккаунте. Экземпляры EC2 размещают приложения и помечены тегами с именем приложения; экземпляры работают в группах Auto Scaling. Группа правил Network Firewall с отслеживанием состояния должна оставаться актуальной по мере масштабирования экземпляров. Какой подход требует наименьших усилий по реализации и администрированию?

Правильный ответ — создание группы ресурсов для каждого имени приложения и ссылка на ARN группы ресурсов в группе правил с отслеживанием состояния. AWS Network Firewall поддерживает ссылки на группы ресурсов в правилах с отслеживанием состояния. Это позволяет динамически обновлять правила на основе ресурсов, соответствующих критериям группы ресурсов (например, тегам EC2), без ручного вмешательства. Когда экземпляры EC2 масштабируются, группа ресурсов автоматически включает новые экземпляры, и правила Network Firewall соответствующим образом применяются. Неправильные варианты: Сетевой ACL не может быть напрямую связан с правилами Network Firewall. Списки префиксов не обновляются динамически на основе тегов ресурсов и требуют ручного управления IP-адресами. Использование Lambda для запроса тегов и обновления правил является более сложным и требует дополнительных усилий по разработке и обслуживанию.