簡単な答え：これが推奨される操作方法です。頑張ってください。
長い：状況によります。アプリに必要なセキュリティのレベル、および費やす作業量、複雑さ、可用性、メンテナンスによって異なります。理論的には、マシン間のトラフィックは暗号化する必要があります。特に、次のようなマルチテナント環境ではパブリッククラウド-AWSは、基本的なセキュリティグループが確実なものを提供できるようにするために多大な努力を払ってきました。
これにより、盗聴やパケットスプーフィングの両方が発生する可能性は非常に低くなります。現実的に考えれば、ハッカーがWebアプリのバグや脆弱性を主要な攻撃ベクトルとして使用する可能性が（桁違いに）高くなります。
>
また、セキュリティグループの設定ミスの可能性もあります。 Dome9
などの専用サービス および
最後に、VPC。アーキテクチャ的にはEC2とそれほど違いはありませんが、構成能力が高く、ポリシーを適用する2番目の方法（ネットワークACL）が提供されるため、これをお勧めします。これにより、複雑さとメンテナンスが増える可能性がありますが、構成ミスの影響を減らすことができます。