Um aplicativo pode ser acessado tanto por meio de uma distribuição CloudFront quanto diretamente por meio de um Application Load Balancer (ALB) voltado para a internet. O administrador deve garantir que o aplicativo seja acessível apenas via CloudFront e não diretamente via ALB, sem modificar o código do aplicativo. Qual configuração realiza isso?

A opção correta garante que o ALB só aceite tráfego do CloudFront. Ao adicionar um cabeçalho HTTP personalizado na configuração de origem do CloudFront, o CloudFront incluirá esse cabeçalho em todas as solicitações para o ALB. Uma regra de listener do ALB pode ser configurada para verificar a presença e o valor desse cabeçalho. Se o cabeçalho estiver presente e corresponder, a solicitação é encaminhada. Caso contrário, o ALB retorna um erro 403, bloqueando o acesso direto. As outras opções são menos eficazes ou mais complexas: Converter o ALB para interno não funciona, pois o CloudFront não pode acessar ALBs internos diretamente na maioria dos casos sem configurações adicionais complexas (como VPC Peering ou AWS PrivateLink), e o problema é o acesso direto, não a visibilidade. Lambda@Edge é uma solução válida, mas mais complexa e cara do que uma regra de ALB simples para este caso. Substituir por um ALB interno e adicionar um cabeçalho personalizado é redundante e mais complexo do que o necessário, além de que o CloudFront não acessa ALBs internos diretamente sem configurações adicionais.