Uma empresa migrou um aplicativo web para a AWS. A arquitetura usa uma distribuição Amazon CloudFront que encaminha solicitações para um Application Load Balancer (ALB), e o Amazon ECS lida com o processamento do aplicativo. Uma auditoria de segurança descobriu que o aplicativo pode ser acessado diretamente tanto pelo domínio do CloudFront quanto pelo endpoint do ALB. A empresa exige que o aplicativo seja acessível apenas através do CloudFront. Qual solução realiza isso com o MENOR esforço?

A opção correta é atualizar o ingresso do security group do ALB para permitir acesso apenas da lista de prefixos gerenciada do CloudFront. Essa lista de prefixos (com.amazonaws.global.cloudfront.origin-facing) é mantida pela AWS e contém os endereços IP que o CloudFront usa para se conectar aos seus origins. Ao configurar o security group do ALB para aceitar tráfego somente dessa lista, você garante que apenas as solicitações provenientes do CloudFront possam alcançar o ALB, bloqueando o acesso direto. As outras opções são menos eficazes ou mais complexas: Criar um novo security group para o CloudFront não é aplicável, pois o CloudFront não usa security groups para sua distribuição. Criar um VPC interface endpoint para o Elastic Load Balancing e mudar o esquema do ALB para internal tornaria o ALB inacessível publicamente, o que impediria o CloudFront de alcançá-lo, pois o CloudFront opera na rede pública. Extrair manualmente os endereços IP do CloudFront do documento ip-ranges.json é inviável e não recomendado, pois esses endereços mudam frequentemente, exigindo manutenção constante e manual, o que é propenso a erros.