[AWS][SAA][EXAMTOPICS] Question 332

Recently, a corporation built Linux-based application instances on Amazon EC2 in a private subnet and a Linux-based bastion host on an Amazon EC2 instance in a VPC's public subnet. A solutions architect must establish connections from the on-premises network to the bastion host and application servers through the company's internet connection. The solutions architect must ensure that all EC2 instances' security groups permit this access.

Which measures should the solutions architect do in combination to satisfy these requirements? (Select two.)

• A. Replace the current security group of the bastion host with one that only allows inbound access from the application instances.
• B. Replace the current security group of the bastion host with one that only allows inbound access from the internal IP range for the company.
• C. Replace the current security group of the bastion host with one that only allows inbound access from the external IP range for the company.
• D. Replace the current security group of the application instances with one that allows inbound SSH access from only the private IP address of the bastion host.
• E. Replace the current security group of the application instances with one that allows inbound SSH access from only the public IP address of the bastion host.

 

 

한글 번역

최근 한 기업이 프라이빗 서브넷의 Amazon EC2에 Linux 기반 애플리케이션 인스턴스를 구축하고 VPC의 퍼블릭 서브넷에 있는 Amazon EC2 인스턴스에 Linux 기반 배스천 호스트를 구축했습니다. 솔루션 설계자는 회사의 인터넷 연결을 통해 온프레미스 네트워크에서 배스천 호스트 및 애플리케이션 서버로의 연결을 설정해야 합니다. 솔루션 설계자는 모든 EC2 인스턴스의 보안 그룹이 이 액세스를 허용하는지 확인해야 합니다.

솔루션 설계자는 이러한 요구 사항을 충족하기 위해 어떤 조치를 취해야 합니까? (2개를 선택하세요.)

• A. 배스천 호스트의 현재 보안 그룹을 애플리케이션 인스턴스의 인바운드 액세스만 허용하는 보안 그룹으로 교체합니다.
• B. 배스천 호스트의 현재 보안 그룹을 회사의 내부 IP 범위에서만 인바운드 액세스를 허용하는 보안 그룹으로 교체합니다.
• C. 배스천 호스트의 현재 보안 그룹을 회사의 외부 IP 범위에서 인바운드 액세스만 허용하는 보안 그룹으로 교체합니다.
• D. 애플리케이션 인스턴스의 현재 보안 그룹을 배스천 호스트의 사설 IP 주소에서만 인바운드 SSH 액세스를 허용하는 보안 그룹으로 교체합니다.
• E. 애플리케이션 인스턴스의 현재 보안 그룹을 배스천 호스트의 공용 IP 주소에서만 인바운드 SSH 액세스를 허용하는 보안 그룹으로 교체합니다.

 

 

 

 

정답

• C. Replace the current security group of the bastion host with one that only allows inbound access from the external IP range for the company.
• D. Replace the current security group of the application instances with one that allows inbound SSH access from only the private IP address of the bastion host.

 

해설

기업은 회사의 인터넷연결을 통해 Bastion으로 연결을 하길 원하고 Bastion을 통해서 애플리케이션 서버로 연결을 한다.

그러므로 회사의 공용 IP로 Bastion을 접속할 수 있게 Bastion 보안그룹의 인바운드 규칙을 편집하고 

그 후 애플리케이션에서는 Bastion에서만 연결할 수 있게 Bastion의 사설 IP 주소만 허용하도록 규칙을 편집해야 한다.