這些題目為學習目的而獨立製作，並非 AWS 官方考題、實際考題、外流題或考題庫。
SAA-007
不希望從網際網路直接以 HTTP 存取位於 Application Load Balancer 後方的 EC2 執行個體。最為適切的 Security Group 設定為何?
選項
解析與正確答案
閱讀解析與正確答案（劇透：建議先自行作答）
正確答案：D. 於 EC2 的 Security Group 中僅允許來自 ALB Security Group 的 HTTP
解析
ALB 後方的 EC2 應於 EC2 端的 Security Group 中,僅允許來自 ALB Security Group 的通訊。
各選項解析
A. 於 ALB 的 Security Group 中僅允許來自 EC2 的 HTTP
錯誤。ALB 為從用戶端接收的入口。即使僅允許從 EC2 至 ALB 的 HTTP 也無法滿足需求。
B. 於 EC2 的 Security Group 中允許來自 0.0.0.0/0 的 HTTP
錯誤。屬於將 EC2 直接公開於網際網路的設定。
C. 為 EC2 指派 Elastic IP 以便直接存取
錯誤。指派 Elastic IP 將提高直接存取的可能性。
D. 於 EC2 的 Security Group 中僅允許來自 ALB Security Group 的 HTTP
正確。可僅允許透過 ALB 的通訊。
實際使用情境
在 Application Load Balancer(ALB)後方的 EC2,於 EC2 端 Security Group(SG)中設定為「僅允許來自 ALB 的 SG 之輸入」,即可從結構上阻擋來自網際網路的直接存取。Security Group 的來源不僅可指定 CIDR,還可透過 ID 參照另一個 SG,因此將 ALB SG 的 ID 設為允許,即使 ALB 的 IP 變動,亦不必變更 EC2 端的規則。標準組態為兩段式:ALB 端 SG 接受來自 `0.0.0.0/0` 的 80/443,而 EC2 端 SG 則接受來自 ALB SG 的 80/8080 等。 Security Group 屬於「僅允許規則、有狀態(stateful)」,而 Network ACL(NACL)則為「可寫入允許與拒絕、無狀態(stateless)」,兩者的區分使用也是 SAA-C03 的考點。一般組態為將 EC2 配置於 VPC 的私有子網路,並將 ALB 配置於公有子網路,EC2 無需指派公有 IP 或 Elastic IP。僅以私有 IP 與透過 ALB 的健康檢查、流量轉送即可使通訊成立。 SAA-C03 中,在「不希望從網際網路直接存取 ALB 後方的 EC2」的要求下,經常出題僅允許 EC2 端 SG 來自 ALB SG 的模式。誤答則排列出開放 `0.0.0.0/0`、為 EC2 指派 Elastic IP、僅允許 ALB 端 SG 來自 EC2 的反向設定等,違反將入口集中至 ALB 之意圖的模式。SG 之間的相互參照僅限於同一 VPC 內(或 VPC Peering 的對端),也是實作時需注意的重點。