一家公司将 CloudFront 与 Application Load Balancer (ALB) 源站结合使用。网络工程师必须确保所有进入 ALB 的流量都源自 CloudFront，并且强制措施必须在网络层而不是应用程序中执行。哪种解决方案是满足此要求的最具操作效率的方法？

在ALB的安全组中添加入站规则，允许CloudFront的AWS托管前缀列表，这是最有效率的方法。AWS托管前缀列表包含CloudFront的IP地址范围，并且由AWS自动维护更新，无需手动干预。将此列表配置到ALB的安全组中，可以确保只有来自CloudFront的流量才能到达ALB，且强制措施在网络层执行。 使用网络ACL虽然也能在网络层限制流量，但网络ACL是无状态的，需要同时配置入站和出站规则，且管理粒度不如安全组精细，操作效率较低。配置自定义HTTP标头是在应用层进行验证，不符合在网络层执行强制措施的要求。使用AWS WAF并结合Lambda函数更新IP列表虽然可行，但操作复杂性高，且WAF在应用层工作，不如安全组直接在网络层生效高效。