Компания развертывает двухуровневое веб-приложение в VPC. Веб-уровень использует группу Auto Scaling в публичных подсетях в нескольких зонах доступности. Уровень базы данных представляет собой инстанс Amazon RDS for MySQL DB в частных подсетях. Веб-уровень не может подключиться к базе данных, хотя база данных запущена. Сетевые ACL, группы безопасности и таблицы маршрутизации все еще находятся в настройках по умолчанию. Что должен порекомендовать архитектор решений для исправления приложения?

Правильный ответ — добавить правило для входящего трафика в группу безопасности инстанса RDS уровня базы данных, чтобы разрешить трафик от группы безопасности веб-уровня. По умолчанию группы безопасности блокируют весь входящий трафик, поэтому необходимо явно разрешить подключение веб-уровня к базе данных. Указание группы безопасности веб-уровня в качестве источника входящего трафика для группы безопасности RDS — это рекомендуемый и безопасный способ обеспечить связь между уровнями в одной VPC. Остальные варианты неверны: Сетевые ACL по умолчанию разрешают весь входящий и исходящий трафик, поэтому добавление явного правила не решит проблему. Маршрутизация между подсетями в одной VPC по умолчанию уже настроена, дополнительный маршрут не требуется. Развертывание в отдельных VPC с VPC peering излишне усложнит архитектуру и не является решением проблемы безопасности по умолчанию.