Um arquiteto de soluções precisa garantir que apenas usuários ou perfis (roles) autorizados da AWS possam chamar um novo endpoint do Amazon API Gateway. O arquiteto também deseja um rastreamento de ponta a ponta de cada solicitação para medir a latência e construir mapas de serviço. Como o controle de acesso e o rastreamento de solicitações do API Gateway podem ser implementados para satisfazer ambos os requisitos?

A opção correta atende a ambos os requisitos. Definir a autorização do método do API Gateway como AWSIAM e conceder a permissão execute-api:Invoke a usuários ou perfis (roles) específicos do IAM garante que apenas entidades autorizadas possam chamar o endpoint, pois as solicitações devem ser assinadas com o AWS Signature V4. O AWS X-Ray é a ferramenta ideal para rastreamento de ponta a ponta e análise de latência em serviços distribuídos, incluindo o API Gateway, permitindo a construção de mapas de serviço. As outras opções estão incorretas porque: Habilitar CORS não é um mecanismo de autorização; o CloudWatch Logs pode coletar logs, mas o X-Ray oferece rastreamento distribuído e mapas de serviço. Um autorizador Lambda personalizado é uma opção, mas a autorização AWSIAM é mais direta para controle de acesso baseado em IAM. Certificados de cliente são para autenticação mútua TLS, não para autorização baseada em IAM, e o CloudWatch não fornece o rastreamento de ponta a ponta que o X-Ray oferece.