Uma empresa médica executa uma API REST em instâncias EC2 em um grupo do Auto Scaling atrás de um Application Load Balancer (ALB). O ALB está em três sub-redes públicas e as instâncias EC2 estão em três sub-redes privadas. Uma distribuição CloudFront usa o ALB como origem. O que um arquiteto de soluções deve recomendar para fortalecer a segurança da origem (protegendo o ALB do acesso direto) para solicitações provenientes do CloudFront?

A opção correta fortalece a segurança da origem usando um cabeçalho HTTP personalizado com um segredo rotativo gerenciado pelo Secrets Manager e validado por uma ACL da web do AWS WAF. Isso garante que apenas solicitações provenientes do CloudFront com o cabeçalho correto cheguem ao ALB, protegendo-o do acesso direto. A opção incorreta de usar uma condição de correspondência de IP para os intervalos do CloudFront é menos segura, pois esses IPs são públicos e podem ser falsificados. Mover o ALB para sub-redes privadas não o torna acessível ao CloudFront sem configurações adicionais. A opção incorreta de usar o Systems Manager Parameter Store para o segredo é viável, mas a validação no ALB ou backend adiciona complexidade e carga de processamento que o WAF pode gerenciar de forma mais eficiente na borda. A opção incorreta de habilitar o AWS Shield Advanced é para proteção DDoS e não para controle de acesso de origem. A política de grupo de segurança baseada em IP tem as mesmas desvantagens de segurança da opção anterior.