Компания запускает веб-приложение на инстансах Amazon EC2 в приватной подсети VPC. Application Load Balancer (ALB) в публичных подсетях направляет трафик на эти инстансы EC2. Компания хочет ограничить входящий трафик для инстансов EC2 так, чтобы только ALB мог получить к ним доступ, предотвращая доступ из любого другого источника. Какое решение соответствует этим требованиям?

Правильный ответ — настроить группу безопасности для инстансов EC2 так, чтобы разрешать трафик только из группы безопасности для ALB. Это решение позволяет инстансам EC2 принимать входящий трафик исключительно от Application Load Balancer, эффективно изолируя их от прямого доступа из других источников. Группы безопасности работают на уровне инстансов и позволяют ссылаться на другие группы безопасности в правилах, что является распространённым и безопасным паттермом для многоуровневых приложений. Неправильные варианты: Настройка маршрута в таблице маршрутизации для направления трафика из интернета на приватные IP-адреса инстансов EC2 не обеспечит необходимой безопасности, так как это сделает инстансы доступными напрямую из интернета, минуя ALB. Перемещение инстансов EC2 в публичную подсеть и назначение Elastic IP-адресов также сделает их напрямую доступными из интернета, что противоречит требованию ограничения доступа только через ALB. Настройка группы безопасности для ALB, чтобы разрешить любой TCP-трафик на любом порту, не решает задачу ограничения доступа к инстансам EC2. Это правило относится к ALB, а не к инстансам, и не влияет на то, кто может получить доступ к EC2.