Bir çözüm mimarı, EC2 örneklerini ve Amazon RDS DB örneklerini barındırmak için birden çok alt ağa sahip bir VPC tasarlıyor. VPC, iki Erişilebilirlik Alanında (Availability Zone) altı alt ağa sahiptir: her AZ'de bir genel alt ağ, bir özel alt ağ ve veritabanına ayrılmış bir alt ağ bulunur. Yalnızca özel alt ağlardaki EC2 örnekleri RDS veritabanlarına erişebilmelidir. Bu gereksinimi hangi çözüm sağlar?

Doğru cevap, veritabanı örneklerine yalnızca özel alt ağlardaki EC2 örneklerinin erişmesini sağlayan bir güvenlik grubu oluşturmaktır. Güvenlik grupları, örneklerinize gelen ve giden trafiği kontrol eden sanal güvenlik duvarlarıdır. Bu durumda, DB örneklerine eklenen güvenlik grubu, özel alt ağlardaki EC2 örneklerine atanan güvenlik grubundan gelen gelen trafiğe izin verecek şekilde yapılandırılır. Bu, yalnızca yetkili EC2 örneklerinin veritabanına bağlanabilmesini sağlar. Diğer seçenekler neden yanlış: Genel alt ağların CIDR bloklarına giden rotayı hariç tutan yeni bir rota tablosu oluşturmak, veritabanı alt ağlarından genel alt ağlara giden trafiği engeller, ancak genel alt ağlardan veritabanına gelen trafiği engellemez. Genel alt ağlardaki örneklere atanan güvenlik grubundan gelen gelen trafiği reddeden bir güvenlik grubu oluşturmak, genel alt ağlardaki EC2 örneklerinin veritabanına erişmesini engeller, ancak özel alt ağlardaki EC2 örneklerinin erişmesine izin vermez. Genel alt ağlar ile özel alt ağlar arasında yeni bir peering connection oluşturmak, alt ağlar arasında doğrudan ağ bağlantısı sağlar, ancak erişim kontrolü sağlamaz.