Многоуровневое приложение электронной коммерции использует Application Load Balancer в публичных подсетях, веб-уровень в публичных подсетях и кластер MySQL на инстансах Amazon EC2 в приватных подсетях. База данных MySQL должна получать данные каталога продуктов и ценообразования, размещенные в интернете сторонним провайдером. Разработайте стратегию, которая максимизирует безопасность без увеличения операционных издержек. Что должен сделать архитектор решений?

Правильный ответ — развернуть NAT Gateway в публичных подсетях и изменить таблицу маршрутизации приватной подсети. NAT Gateway позволяет инстансам в приватных подсетях инициировать исходящие соединения в интернет (для получения данных каталога), при этом предотвращая прямые входящие соединения из интернета, что повышает безопасность. Это управляемый сервис AWS, который не требует операционных издержек по управлению. Развертывание NAT Instance увеличивает операционные издержки, так как его нужно администрировать (обновления, масштабирование). Присоединение Internet Gateway напрямую к приватной подсети сделает инстансы базы данных доступными из интернета, что является серьезной угрозой безопасности. Virtual Private Gateway используется для подключения к корпоративной сети через VPN или Direct Connect, а не для доступа в интернет из приватных подсетей.