Q16 — AWS SAP-C02 第1章

第 16/75 题 | ← 返回第1章

Q91. 一家公司已将其表单处理应用程序迁移到 AWS。该应用程序使用一个 Application Load Balancer (ALB)、一个 Auto Scaling 组 (ASG) 中的多个 Amazon EC2 实例和一个 Amazon Aurora 数据库。该应用程序处理包含客户个人身份信息 (PII) 的表单。公司在 Auto Scaling 组前使用 ALB。PII 数据在 Web 浏览器上用 JavaScript 加密并发送以进行处理。公司的信息安全团队要求来自互联网客户端的加密 PII 数据在传输过程中保持加密，并在通过应用程序堆栈的所有阶段保持安全。公司希望使用 AWS Certificate Manager (ACM) 为其公有 TLS 证书实施集中管理。解决方案架构师应该怎么做来满足这些要求？

• A. 在 ALB 上终止 TLS。使用 ACM 证书在 ALB 上进行 TLS 终止。在 ASG 中的 EC2 实例上部署自签名证书以进行 SSL 终止。
• B. 在 ALB 上终止 TLS。使用 ACM 证书在 ALB 上进行 TLS 终止。将 EC2 实例上的应用程序配置为使用端口 80 进行通信。
• C. 使用 TLS 直通方式部署 Network Load Balancer (NLB)。使用 ACM 证书在 EC2 实例上进行 TLS 终止。
• D. 在 ALB 上终止 TLS。使用 ACM 证书在 ALB 上进行 TLS 终止。在 ASG 中的 EC2 实例上部署 ACM 证书以进行 SSL 终止。 ✓

正确答案: D. 在 ALB 上终止 TLS。使用 ACM 证书在 ALB 上进行 TLS 终止。在 ASG 中的 EC2 实例上部署 ACM 证书以进行 SSL 终止。

解析

为确保加密的 PII 数据在传输和应用程序堆栈所有阶段保持安全，推荐的解决方案是： A. 在 ALB 上终止 TLS。使用 ACM 证书在 ALB 上进行 TLS 终止。在 ASG 中的 EC2 实例上部署自签名证书以进行 SSL 终止。 说明： 此方案确保了端到端加密： 1. ALB 端使用 ACM 证书终止来自客户端的 TLS 连接。 2. ALB 到 EC2 实例之间使用自签名证书重新加密通信。 3. PII 数据已在浏览器中用 JavaScript 加密，因此即使 TLS 在各层被终止和重新建立，PII 数据本身始终保持加密。 选项 B 不正确，因为使用端口 80 意味着 ALB 到 EC2 实例之间的流量未加密，不满足传输中加密的要求。 选项 C 不正确，因为 ACM 证书不能直接部署在 EC2 实例上，NLB 的 TLS 直通也不满足集中管理证书的要求。 选项 D 不正确，因为 ACM 证书不能导出到 EC2 实例上使用。ACM 证书只能用于 ALB、CloudFront 等 AWS 集成服务。 因此，选项 A 是正确的解决方案。