Uma aplicação web é executada em instâncias EC2 atrás de um Application Load Balancer (ALB), e o ALB é a origem para uma distribuição CloudFront. A empresa usa um sistema de autenticação personalizado que emite um token para clientes autenticados. A aplicação deve garantir que as requisições GET/POST venham apenas de clientes autenticados. Projete a solução MAIS operacionalmente eficiente que permita à aplicação web identificar clientes autorizados.

A opção correta é usar uma função AWS Lambda@Edge. Lambda@Edge executa código na borda da rede da AWS, mais próximo do usuário, permitindo inspecionar e modificar requisições antes que cheguem ao ALB e às instâncias EC2. Isso é operacionalmente eficiente porque a autenticação ocorre o mais cedo possível no fluxo da requisição, reduzindo a carga nos servidores de origem e melhorando a latência para requisições não autenticadas. A função pode validar o token e, se válido, adicionar um cabeçalho personalizado que a aplicação web pode usar para confirmar a autenticação. As outras opções são menos eficientes: Inspecionar o token no ALB com uma função Lambda separada adiciona complexidade e latência, pois a requisição já teria chegado à região da AWS. Integrar o WAF com o ALB para inspeção de token é possível, mas o WAF é mais adequado para proteção contra ataques comuns, não para lógica de autenticação personalizada complexa, e pode ser mais caro para essa finalidade. Implantar uma instância EC2 com uma ferramenta de terceiros introduz um ponto de falha único, aumenta a complexidade operacional e os custos, e não é escalável ou eficiente como as soluções nativas da AWS.