Bir şirket, yalnızca şirket ofisinden erişilebilen dahili bir web uygulamasını AWS'ye dağıtacaktır. Uygulama, internetten güvenlik yamalarını indirmelidir. Şirketin bir VPC'si ve ofise bir AWS Site-to-Site VPN'i vardır. Hangi tasarım bu gereksinimleri güvenli bir şekilde karşılar?

Doğru cevap, web uygulamasını özel alt ağlardaki EC2 örneklerine, dahili bir ALB arkasına dağıtarak uygulamanın internetten doğrudan erişilememesini sağlar. NAT ağ geçitleri, özel alt ağdaki EC2 örneklerinin güvenlik yamalarını indirmek için internete güvenli bir şekilde çıkış yapmasına olanak tanır. ALB'nin güvenlik grubunun gelen kaynağını şirketin ofis ağı CIDR bloğu olarak ayarlamak, yalnızca ofisten gelen trafiğin uygulamaya erişmesini garanti eder. Diğer seçenekler güvenli değildir veya gereksinimleri karşılamaz: Genel alt ağlarda ve genel ALB ile 0.0.0.0/0 gelen kaynağı, uygulamayı internete açık hale getirir. Genel alt ağlarda dahili ALB kullanmak veya güvenlik grubunun giden hedefini ayarlamak mantıksızdır ve erişim kontrolünü sağlamaz. Özel alt ağlarda genel ALB kullanmak, dahili bir uygulama için uygun değildir ve güvenlik yamaları için çıkış yolunu sağlamaz.