Departman alt klasörlerine sahip bir ana klasörünüz var. Her departman kendi projesini ve VPC'sini yönetir ve VPC güvenlik duvarı kuralları oluşturabilir. VPC'ler birbirinden izole edilmeli, böylece aralarında trafik akışı olmamalıdır, ancak departmanlar VPC içi kuralları yönetebilmelidir. Departman klasörlerine VPC içi izinleri delege ederken, global bir deny-from-any-other-VPC'yi nasıl zorunlu kılarsınız?

Doğru cevap, her departman klasörü için iki kural içeren iki hiyerarşik güvenlik duvarı politikası oluşturmaktır. Yüksek öncelikli kural, VPC'nin kendi özel CIDR'lerinden gelen trafiği eşleştirmeli ve eylemi "gotonext" olarak ayarlamalıdır. Bu, departmanların kendi VPC içi kurallarını yönetmesine olanak tanır. Daha düşük öncelikli kural ise diğer tüm kaynaklardan gelen trafiği engellemeli ve VPC'ler arası izolasyonu sağlar. Bu yapı, departmanlara esneklik sağlarken, global izolasyon politikasını da uygular. Diğer seçenekler neden yanlış: Önceliği 0 olan bir VPC güvenlik duvarı kuralı oluşturmak, departmanların kendi VPC içi kurallarını geçersiz kılar. Önceliği 1000 olan bir VPC güvenlik duvarı kuralı oluşturmak, departmanların kendi kurallarının uygulanmasına izin verir ancak global izolasyonu sağlamaz, çünkü departmanlar daha yüksek öncelikli izin kuralları oluşturabilir. Eylemi "izin" olarak ayarlayan yüksek öncelikli bir kural, departmanların VPC içi kurallarını atlayarak doğrudan izin verebilir, bu da istenmeyen güvenlik açıklarına yol açabilir. "gotonext" ise kontrolü VPC'nin kendi güvenlik duvarı kurallarına devreder.