Uma aplicação atende clientes em mais de 20.000 lojas de varejo em todo o mundo. Os serviços web de backend são executados no Amazon EC2 por trás de um Application Load Balancer (ALB) e são expostos via HTTPS na porta 443. Os locais de varejo se comunicam pela internet pública e registram seu endereço IP de ISP alocado. A equipe de segurança deseja restringir o acesso apenas aos endereços IP registrados. O que um arquiteto de soluções deve fazer?

A associação de uma Web ACL do AWS WAF ao ALB é a solução mais escalável e eficiente. O AWS WAF permite criar regras baseadas em IP para permitir ou bloquear tráfego, e os conjuntos de regras de IP facilitam a gestão de uma grande lista de endereços. Atualizar esses conjuntos de regras é simples e não exige alterações na infraestrutura. Implantar o AWS Firewall Manager seria uma solução de gerenciamento centralizado, mas o WAF é a ferramenta específica para a filtragem de tráfego baseada em IP no ALB. Armazenar IPs no DynamoDB com uma função Lambda para autorização adicionaria latência e complexidade desnecessárias para uma tarefa que o WAF já executa nativamente. Configurar a Network ACL na sub-rede do ALB não é prático para 20.000 IPs, pois as Network ACLs têm um limite de regras e são stateless, o que dificultaria a manutenção e escalabilidade.