Uma plataforma de vídeo está migrando vídeos MP4 para o Amazon S3, servindo-os via CloudFront e EC2. Os usuários acessam um frontend que redireciona para URLs de vídeo contendo um token de autorização validado pelo CloudFront. A distribuição do CloudFront é armazenada em cache. A equipe deve registrar as verificações do token de autorização no CloudWatch, impedir o acesso direto a arquivos de vídeo do CloudFront e do S3 e implementar verificações de assinatura de token fornecidas pelo frontend. Eles também querem realizar atualizações contínuas do código de verificação de token com o mínimo de sobrecarga operacional. Qual solução melhor atende a esses requisitos?

A CloudFront Function é a melhor escolha porque executa código leve na borda, antes que a solicitação chegue ao cache do CloudFront, o que é ideal para validação de token de autorização e negação de acesso direto. Ela tem baixa latência e é mais econômica para essa finalidade do que o Lambda@Edge. O registro em log do CloudWatch é inerente e a implantação contínua do CloudFront facilita atualizações sem interrupção. As outras opções são menos adequadas: Lambda@Edge é mais potente e caro, geralmente usado para lógica mais complexa que exige acesso à rede ou maior tempo de execução. Implementar no EC2 adiciona latência e complexidade, pois o tráfego já teria passado pelo CloudFront e possivelmente pelo cache, além de não impedir o acesso direto via CloudFront. Usar o Route 53 para atualizações de CloudFront Functions é desnecessário e mais complexo, pois as CloudFront Functions podem ser atualizadas diretamente na distribuição.