Uma empresa fornece conteúdo proprietário por meio de uma distribuição CloudFront e deve restringir o acesso apenas a usuários dos intervalos de IP do escritório corporativo. Uma web ACL do WAF está anexada à distribuição e a ação padrão da ACL é atualmente Count. Qual é a maneira com menor sobrecarga operacional de impor o acesso apenas a partir dos intervalos de IP corporativos?

A opção correta é criar um conjunto de endereços IP do AWS WAF para os intervalos do escritório corporativo, alterar a ação padrão da web ACL existente para Block e adicionar uma regra de prioridade 0 que permita o tráfego do conjunto de endereços IP. Esta abordagem é a de menor sobrecarga operacional porque reutiliza a web ACL existente e utiliza um recurso nativo do WAF (conjunto de endereços IP) para gerenciar os IPs permitidos. A ação padrão Block garante que todo o tráfego não explicitamente permitido seja bloqueado, e a regra de prioridade 0 garante que a permissão para os IPs corporativos seja avaliada primeiro. As outras opções são menos eficientes ou incorretas. Usar padrões regex para IPs é mais complexo e menos otimizado do que um conjunto de endereços IP. Criar uma nova web ACL adiciona sobrecarga desnecessária. Alterar a ação padrão para Allow sem uma regra de bloqueio explícita abriria a distribuição para todo o tráfego.