Um desenvolvedor expõe uma API web por meio de um Application Load Balancer (ALB) voltado para a internet usando um listener HTTPS e configurou um pool de usuários do Amazon Cognito. O desenvolvedor quer garantir que cada requisição para a API seja autenticada via Cognito. O que deve ser feito?

A ação authenticate-cognito no listener do ALB é a maneira mais direta e eficiente de integrar a autenticação do Amazon Cognito. Ao configurá-la e definir OnUnauthenticatedRequest como "deny", o ALB garante que apenas requisições autenticadas pelo Cognito alcancem a API, simplificando a lógica de autenticação na aplicação. As outras opções são menos ideais: Retornar 401 com base na ausência do cabeçalho Authorization não realiza a autenticação real com o Cognito, apenas verifica a presença do cabeçalho. Usar o API Gateway é uma solução válida, mas adiciona uma camada de serviço desnecessária se o ALB já está em uso e pode lidar com a autenticação diretamente. Uma função Lambda para validar o cabeçalho Authorization adiciona complexidade e latência, exigindo que você gerencie a lógica de validação do token, que o ALB pode fazer nativamente.