某公司使用 AWS Network Firewall 來保護單一帳戶中多個 VPC 的出站流量。EC2 執行個體託管應用程式，並以其應用程式名稱進行標記；執行個體在 Auto Scaling 群組中執行。Network Firewall 有狀態規則群組必須隨著執行個體的擴展和縮減而保持最新狀態。哪種方法所需的實作和管理工作最少？

正確答案是為每個應用程式名稱建立一個資源群組，並在有狀態規則群組中參考該資源群組的 ARN。AWS Network Firewall 的有狀態規則群組支援直接參考資源群組。當 Auto Scaling 群組中的 EC2 執行個體擴展或縮減時，資源群組會自動更新其成員（即執行個體的 IP 位址），因此 Network Firewall 的規則也會自動保持最新，無需額外的管理工作。 為每個應用程式建立網路 ACL 並在有狀態規則群組中參考，這不是 Network Firewall 規則的直接功能，且網路 ACL 主要用於無狀態過濾。為每個應用程式建立前綴清單並參考，雖然前綴清單可以包含 IP 範圍，但它不會自動與 Auto Scaling 群組的動態 IP 變化同步。建立 Lambda 函數來查詢和更新規則群組，這雖然可行，但涉及額外的開發和維護工作，不符合「最少實作和管理工作」的要求。