Компания создала VPC для нового приложения в новой учетной записи AWS. VPC пирингуется с существующим VPC в другой учетной записи в том же регионе для доступа к базе данных. Экземпляры Amazon EC2 будут часто создаваться и завершаться в VPC приложения, но только некоторые из них должны подключаться к базам данных в пиринговом VPC по TCP-порту 1521. Инженер по безопасности должен убедиться, что только необходимые экземпляры могут получить доступ к базам данных. Что должен сделать инженер?

Правильный ответ обеспечивает гранулированный контроль доступа, используя ссылки на группы безопасности между пиринговыми VPC. Создание группы безопасности в VPC базы данных с правилом, разрешающим трафик с TCP-порта 1521 из конкретной группы безопасности VPC приложения, позволяет только тем экземплярам, которым назначена эта группа безопасности приложения, подключаться к базам данных. Это соответствует принципу наименьших привилегий, поскольку доступ предоставляется только необходимым экземплярам, а не всему CIDR VPC приложения, который может включать неавторизованные экземпляры. Неправильные варианты: Разрешение всему CIDR VPC приложения в группе безопасности базы данных или сетевом ACL слишком широко и не соответствует требованию о том, что "только некоторые из них" должны подключаться. Создание входящего правила в группе безопасности приложения, разрешающего CIDR VPC базы данных, не контролирует, какие экземпляры приложения могут инициировать подключение к базе данных; это скорее правило для входящего трафика в приложение.