Приложение работает на трех инстансах EC2 в трех зонах доступности за Network Load Balancer (NLB). Администратор должен ограничить трафик инстансов так, чтобы разрешались только запросы, поступающие от NLB. Какой подход соответствует этому требованию с наименьшими эксплуатационными затратами?

Правильный ответ — настройка правил входящего трафика в группе безопасности инстансов EC2 для приема трафика только от группы безопасности, связанной с NLB. Это наиболее эффективный и наименее затратный способ, поскольку группы безопасности могут ссылаться друг на друга, автоматически разрешая трафик от NLB без необходимости вручную управлять IP-адресами. Вариант с эластичными сетевыми интерфейсами NLB неоптимален, так как IP-адреса могут меняться, требуя постоянного обновления правил. Создание сетевого ACL для подсетей приложения и разрешение трафика только из диапазонов CIDR NLB является возможным, но менее гибким и более сложным в управлении, чем использование групп безопасности, особенно при масштабировании. Развертывание стороннего файрвола на отдельном инстансе EC2 значительно увеличит эксплуатационные расходы и сложность, что противоречит требованию о наименьших затратах.