Компания развернет внутреннее веб-приложение в AWS, которое должно быть доступно только из офиса компании. Приложение должно загружать исправления безопасности из интернета. У компании есть VPC и AWS Site-to-Site VPN для подключения к офису. Какой дизайн безопасно удовлетворяет этим требованиям?

Правильный ответ обеспечивает доступ к приложению только из офиса компании и позволяет приложению получать обновления безопасности из Интернета. Размещение веб-приложения в частных подсетях за внутренним ALB гарантирует, что оно не будет напрямую доступно из Интернета. Установка входящего источника группы безопасности ALB на CIDR-блок офисной сети компании ограничивает доступ к ALB (и, следовательно, к приложению) только трафиком, поступающим из офиса через Site-to-Site VPN. NAT Gateways в публичных подсетях позволяют инстансам в частных подсетях инициировать исходящие соединения с Интернетом (для получения обновлений безопасности), не делая их доступными извне. Интернет-шлюз необходим для работы NAT Gateway. Остальные варианты не соответствуют всем требованиям: Размещение ALB в публичной подсети с доступом 0.0.0.0/0 делает приложение доступным из Интернета. Размещение ALB в публичной подсети, даже если инстансы EC2 находятся в частной, может создать уязвимость. Использование публичного ALB с частными инстансами EC2 и исходящим доступом 0.0.0.0/0 не ограничивает входящий доступ из офиса.