Büyük bir işletmedeki bir güvenlik mühendisi, 1.500 yan şirket tarafından kullanılan bir veri işleme uygulamasını yönetmektedir. Ana şirket ve tüm yan kuruluşlar AWS kullanmaktadır. Uygulama, TCP 443 numaralı bağlantı noktasını dinler ve bir Network Load Balancer (NLB) arkasındaki Amazon EC2 üzerinde çalışır. Uyumluluk gereği, uygulamaya yalnızca yan kuruluşlar erişebilmeli ve genel internete açık olmamalıdır. Mühendis, her bir yan kuruluş için genel ve özel CIDR aralıklarını almıştır. Mühendis, bu erişim kısıtlamalarını uygulamak için hangi çözümü uygulamalıdır?

Bu çözüm, uygulamaya yalnızca yan kuruluşların erişmesini ve genel internete açık olmamasını sağlamak için en güvenli ve ölçeklenebilir yaklaşımdır. AWS PrivateLink, trafiği AWS ağı içinde tutarak ve genel internet üzerinden geçmesini engelleyerek özel bağlantı sağlar. Her yan kuruluşun bir arayüz VPC uç noktası oluşturması, kendi VPC'lerinden uygulamaya özel olarak bağlanmalarına olanak tanır. Diğer seçenekler neden yanlış: Ağ ACL'leri (Network ACLs) durum bilgisi olmayan güvenlik duvarlarıdır ve 1.500 farklı CIDR aralığını yönetmek karmaşık ve hataya açık olacaktır. Ayrıca, NLB ve EC2'ye ayrı ayrı uygulamak yönetim yükünü artırır. Güvenlik grupları durum bilgisi olan güvenlik duvarlarıdır, ancak 1.500 CIDR aralığını doğrudan bir güvenlik grubuna eklemek, güvenlik grubunun kural sınırlarını aşabilir ve yönetimi zorlaştırır. Ayrıca, bu çözüm hala trafiğin genel internet üzerinden geçme potansiyelini ortadan kaldırmaz. Güvenlik grubunu doğrudan EC2 örneklerine eklemek, NLB'nin önündeki genel erişimi kısıtlamaz ve uygulamanın genel internete açık kalmasına neden olabilir.