Uma aplicação é executada em instâncias EC2 em sub-redes privadas atrás de um Application Load Balancer (ALB) voltado para a internet. O ALB é a origem para uma distribuição CloudFront. Uma web ACL do WAF (com regras gerenciadas pela AWS) está anexada à distribuição CloudFront. A empresa deseja evitar que qualquer tráfego da internet chegue diretamente ao ALB. Qual opção realiza isso com o menor overhead operacional?

A opção correta é adicionar uma regra de security group no ALB que permita tráfego de entrada apenas do prefix list do CloudFront gerenciado pela AWS. Isso garante que somente o tráfego originado do CloudFront possa alcançar o ALB, bloqueando qualquer acesso direto da internet com o menor overhead operacional, pois o prefix list é automaticamente atualizado pela AWS. Criar uma nova web ACL do WAF e associá-la ao ALB (opção incorreta) duplicaria a configuração e aumentaria o overhead de gerenciamento. Associar a web ACL existente do CloudFront ao ALB (opção incorreta) não é possível, pois as web ACLs do WAF são regionais ou globais e associadas a recursos específicos, não sendo transferíveis diretamente entre CloudFront e ALB. Adicionar uma regra de security group com os intervalos de IP atuais do CloudFront (opção incorreta) não é ideal, pois esses IPs podem mudar, exigindo atualizações manuais constantes e aumentando o risco de interrupções.